La sicurezza è peggiore e va oltre un semplice problema di riservatezza.
Come hai affermato, è "soggetto a intercettazioni occasionali" , ma come hai notato anche che l'utente legittimo è "autorizzato a connettersi a Internet tramite il filtro degli indirizzi MAC" .
Un utente malintenzionato può modificare il proprio indirizzo MAC per condividere lo stesso utente legittimo. Ciò crea un conflitto di indirizzi MAC, ma in pratica ciò comporta solo alcuni messaggi di avviso aggiunti ad alcuni file di log di sistema che gli utenti finali non controllano comunque. La connessione viene mantenuta e funziona per entrambe le parti contemporaneamente (poiché condividono lo stesso dominio di collisione).
Da ora in poi, non solo l'autore dell'attacco può intercettare i dati degli utenti legittimi, ma l'aggressore può ora impersonarlo agli occhi dell'hotspot (e dell'infrastruttura e del provider dietro di esso). L'hacker solitamente è anche in grado di mantenere l'accesso aperto a qualsiasi ora arbitraria dopo che l'utente legittimo si è allontanato (ciò richiede che l'attaccante simuli un'attività regolare per tutto il tempo, qualsiasi attività casuale o simula un certo aggiornamento della pagina Web di "autenticazione", ma questo è facilmente automatizzabile.
La maggior parte, se non tutti gli accessi WiFi aperti non crittografati che si basano su un portale soffrono di tali problemi: ostello, accesso WiFi a pagamento, servizi di hotspot pubblico che alcuni ISP inviano al proprio utente finale per condividere il proprio WiFi con altri abbonati, ecc.
Da lì, hai due modi principali per assicurarti questo:
-
Restare nei livelli di rete superiori: fornire all'utente un client VPN (non chiamarlo necessariamente VPN, dal punto di vista commerciale qualsiasi cosa: "WiFi- Accesso ", ecc.). Invece di utilizzare una pagina web, l'utente utilizzerà il suo software client per autenticarsi e "aprire" l'accesso WiFi (in pratica il WiFi non crittografato fornisce l'accesso a un server VPN, fornendo l'accesso a Internet ai client autenticati).
-
Oppure risolvi il problema nei livelli inferiori: fornisci all'utente finale una "password WiFi" del PSK (caso ostelli, ad esempio), o invece di fornire loro un'applicazione client VPN fornisci i certificati che verranno utilizzati per connettersi ai propri hotspot (caso ISP per esempio). Da lì verrà stabilito un canale più sicuro tra l'utente finale e il punto di accesso, consentendo all'utente di autenticarsi in modo sicuro nella pagina in cattività dell'hotspot.
Non c'è modo qui, come hai suggerito, di creare un token di sicurezza a un livello superiore (il livello dell'applicazione, qui il browser) per usarlo per proteggere un livello inferiore (il livello di collegamento dati, qui la connessione WiFi) . Implementa la sicurezza su uno o sull'altro livello.