Httpclient reindirizza nelle caffetterie

Ciò a cui ti riferisci è chiamato captive portal . Consente ai provider WiFi di autorizzare gli utenti, ottenere conferma per il contratto di assistenza da parte loro, visualizzare annunci, richiedere pagamenti per tempi di utilizzo prolungati, ecc. La sua esistenza non ha implicazioni sulla sicurezza di per sé (a meno che non sia stata implementata male e perdite di informazioni fornite dall'utente , ma questo è su un livello diverso).

Tuttavia, quando ti connetti a un WiFi che non controlli, dal momento in cui hai collegato il dispositivo alla rete il tuo traffico può essere (ed è) catturato e alterato (ecco perché vengono reindirizzati a un captive portal ー non viene utilizzato come strumento per l'attacco MitM, è il risultato di MitM attack ^* ).

L'unica linea di difesa, è l'uso corretto di HTTPS per i siti che elaborano informazioni sensibili (dopo l'autorizzazione o qualunque altro captive portal richieda di fare). Significa: (1) utilizzare HTTPS in primo luogo e (2) non accettare certificati non attendibili.

^* Uso la frase " MitM attack " qui per fare riferimento al meccanismo, non alle intenzioni. In caso di provider WiFi gratuiti affidabili non è un attacco, ma il loro modello di servizio. E come hai notato, Microsoft riconosce tali azioni come legittime e visualizza una notifica di facile utilizzo.

Sebbene il captive portal non consenta tecnicamente nulla che un hacker non possa già fare con un hotspot falso, potrebbe attirare gli utenti verso un falso senso di sicurezza.

Poiché gli utenti si aspettano un simile portale, è possibile creare un falso portale oltre all'hotspot falso. È probabile che gli utenti ripongano più fiducia in una tale connessione solo nell'hotspot stesso (il loro computer sta dicendo che è sicuro, giusto?). Può quindi essere dannoso per la sicurezza.

D'altra parte, se gli utenti sono apt e la chiave privata / certificato dell'hotspot - spesso protetto - viene gestita correttamente, un tale portale potrebbe addirittura migliorare la sicurezza.

Questo è specialmente il caso quando ad es. un'applicazione per Android viene utilizzata per verificare l'accesso all'hotspot, associando la sessione WiFi alla sessione TLS.