[linux_var] Captive Network -- Non sono reindirizzato alla pagina di Login

Carlo Contavalli ccontavalli a gmail.com
Mer 5 Ott 2016 07:01:59 CEST


2016-10-03 11:58 GMT-07:00 Luca Lesinigo <luca a lesinigo.it>:
> Altra tecnica, altra ipotesi: captive portal con transparent proxy
> http… intercettano le tue richieste http e se non sei loggato ti
> generano un http redirect alla pagina di login.
> [...]

Una tecnologia corrente che ho visto rompere captive portal, in
qualsiasi modo implementati, e` HSTS:
https://en.wikipedia.org/wiki/HTTP_Strict_Transport_Security

In pratica, il sito web e` in una lista pre-caricata nel browser,
oppure restituisce un header indicando che solo accesso https con
valido certificato e` consentito, header che viene poi memorizzato dal
browser per un tot di tempo configurabile.

Con captive portal, https presenta certificati non validi, o digitando
http:// il browser redirige comunque su https (vista la policy hsts).

Se https non va, il browser presenta una pagina di errore / blocco
generica, dove, se ricordo bene, il browser _non_ presenta opzione di
aggirare il problema manualmente (il proprietario del sito in pratica
ha detto "solo https!").

Si trovano diversi siti che parlano del problema, per esempio:
https://community.jisc.ac.uk/blogs/information-security-management/article/hsts-captive-portals-and-x1

La maggior parte dei siti correlati con google dovrebbero avere HSTS
abilitato, e molti altri. Il work around piu` semplice e` lo stesso
suggerito da Luca: andare su un sito senza HSTS. Eg, ciao.it,
repubblica.it, debian.org, ...

Carlo


Maggiori informazioni sulla lista Talking