Coroner

Спасибо огромное. Прочитал про этот captive portal и чем он грозит. Особенно конечно спасибо за ключевые слова, по которым поискал. Там народ уже обсуждает эту тему в разных форумах. Сказали, что это новый вид стука, которым обзавелся Firefox по аналогии с другими системами. Написали, что если просто убирать detectportal.firefox.com из параметра, то все равно будет возникать:"Эта сеть может потребовать от вас произвести авторизацию для получения доступа в интернет". Народ рекомендует именно network.captive-portal-service.enabled в false переводить. Кое-кто советует в самом Windows сетевые настройки крутить на эту тему, но я этим заниматься пока не буду. Пока этот параметр перевел в false. Вроде (тьфу-тьфу-тьфу) больше пока не беспокоило. Еще раз громадное спасибо за помощь.

Coroner

Правда, когда я читал про captive portal, то не совсем понял зачем разные системы и Firefox об этом извещают? Они предупреждают что-ли пользователя, что у него могут украсть деньги через подобный сервис, поскольку он уязвим к так называемым "атакам посредника"?

В "посмотреть, доступен ли этот адрес моментально, или для доступа к нему от пользователя потребуется что-то сделать, какой-то пароль ввести".
https://habrahabr.ru/sandbox/79059/
https://ru.wikipedia.org/wiki/Captive_portal

Отредактировано yup (21-08-2017 14:35:41)

чушь
перенаправление в тех случаях идет на уровне днс и хттпс никоим образом на это не влияет.
а портал этот и сама фича для юзера абсолютно бесполезна и бессмысленна а вот мозилловцам для сбора инфы нужна.
ну и никто не мешает настроить прозрачный прокси только для этого адреса и фф будет думать что инет есть . а другие запросы получат перенаправление.
так что кроме как стучать мозилловцам что такойто юзер запустил браузер другого назначения у этой фичи нет.

сам то понял что написал?
сначала изучи как работают этивашиэнторнеты а потом уже пиши.
и рекомендую сначала выучить значения терминов которыми собираешься пользоваться.
узнай что означает 301 для начала.

Вам же в свою очередь советую изучить культуру общения.

Нормально настроенный портал не потерпит никакого внешнего трафика с незнакомого устройства. А если изменить только DNS, то внешний трафик очень даже возможен. Кроме того, если манипулировать DNS, то после авторизации кеш DNS будет мешать нормально работать первые минуту-две, так что DNS, наоборот, практически всегда полноценный. Итак, наиболее вероятно, что при попытке открыть HTTPS соединение будет таймаут или сброс соединения. И что думать не сильно технически грамотному человеку в таком случае?

Да, именно так. Если админам где-то надо, они вполне могут так сделать. На месте некоторых админов я бы это сделал только для того, чтобы внешний трафик не гнать. При этом, если во внутренней сети есть хотспоты с порталом, то вся логика тестирования наличия Интернета успешно воспроизводится. Впрочем, у success.txt есть Last-Modified, так что мало-мальски настроенный прозрачный прокси в сети успешно ответит на эти запросы и не «настучит» Мозилле. Кукисов в запросе не посылается, так что возможности слежения весьма ограничены.

Если стоит задача как можно больше ввести человека в заблуждение, то да, можно специально для Mozilla и других трёх производителей сделать вид, что Интернет есть, но чтоб он не работал, и попробуй угадай, почему.

301 отправляется внутри соединения. В случае HTTPS — защищённого соединения. Не имея чужих закрытых ключей, от чужого имени установить защищённое соединение не получится, и чего-то там послать, соответственно, тоже.

Кроме как через Captive Portal, реально достучаться до пользователя, если попытаться сделать так, чтоб его браузер пытался идти через прокси. Например, при автоконфигурации настроить wpad.dat. Тогда браузер, пытающийся идти через прокси, сначала посылает открытым текстом CONNECT somewebsite:443 HTTP/1.1, и прокси может браузеру чего-нибудь открытым текстом ответить. Никакие 301 или, между прочим, лучше 303 или 302, при этом не сработают. Браузер просто покажет на всю страницу здоровенную ошибку, что не удалось установить зашифрованное соединение, полностью проигнорировав жалкие попытки чего-то перенаправить на стороне прокси. Тело ответа, заголовки ответа — всё игнорируется. Работает только код 407, что заставляет браузер показать диалог аутентификации. Причём, Firefox хотя бы показывает Realm, и можно через Realm что-нибудь сказать, а Chrome — фиг! Только адрес прокси показывает. Можно, конечно, адрес прокси в wpad.dat замысловатый прописать, чтоб наводило на какие-нибудь мысли.

По большому счёту, то, как сейчас сделано, есть наиболее вменяемый способ сообщить подключённому устройству некое знание.

denislpfgn всё адекватно написал

Подключился к WiFi неизвестно кто. Если он себя не идентифицирует по SMS или паролю, который ему дали по паспорту, пустить его трафик значит нарушить закон. А, может, он запрещённый материал в p2p пойдёт раздавать, и к хозяину хотспота придут гости из органов.