Názory k článku Krátké vlny: Ministerstvo financí prosazuje nesmysl, internet není krabička cigaret
-
Vrátit jinou adresu sice ISP může, ale pak nebude souhlasit certifikát s doménovým jménem, takže prohlížeč odmítne zobrazit tu falešnou stránku podle MFČR a místo ní zobrazí varování, že něco není v pořádku a někdo se možná pokouší o MitM útok. No a HTTP přesměrování použít nepůjde také, protože i to by bylo chráněné TLS.
Jedině že by si MFČR zřídilo vlastní autoritu, která by té jejich stránce generovala certifikáty pro všechna blokovaná doménová jména, a nařídilo její povinnou instalaci coby důvěryhodné do všech prohlížečů v zemích českých. Ne, počkat, to jsem asi neměl psát, ještě by někoho z vrchnosti mohlo napadnout to opravdu zkusit...
-
Rozdil je to pomerne podstatny - captive portal funguje prakticky na L2, kdy se wifi controller rozhoduje na zaklade (ne)znalosti klienta. Zadne sifrovani, zadne rozhodovani na zaklade URL, nic takoveho. Tohle by muselo fungovat na L7 a v ten okamzik do toho hodi vidle prave HTTPS.
Bud by musel ISP podvrhnout obsah webu (a tim rozbije HTTPS a browser rve) nebo by musel podvrhnout presmerovani (a tim rozbije HTTPS a browser rve) nebo by musel na urovni DNS presmerovat domenove jmeno na jinou IP (a tim rozbije HTTPS a browser rve).
-
Stejně to současné blokování funguje (má fungovat) na bázi DNS. Tzn. pokud uživatel chce na doménu, (url adresu), kterou využívá daný poskytovatel hazardní hry, tak operátor nevrátí správnou ()vrátí žádnou) odpověď.
Ofc pokud uživatel nepoužije DNS server operátora a použije např. google 8.8.8.8, tak toto "blokování" přemostí. Nemluvně o různých DNS over TLS apod.
Pokud však jako operátor blokuji na bázi DNS mohu klidně vrátit i jinou IP (kterou mi MF nadiktuje), tzn. přesměrovat uživatele na stránky, které jej varují vůči hazardu. A je úplně jedno jestli používá HTTP nebo HTTPS... tzn. zamyšlení hezké ale....
-
Teoreticky ano, ale bohužel to vypadá, že se do toho začal montovat jistý Zdeněk Zajíček z ODS, který razí zásadu, že bude lepší, když si to bude dál každý úřad bastlit po svém (tedy tak, jak to "fungovalo", když měl tuhle agendu na starosti on coby náměstek na vnitru). Takže uvidíme, jak se to vyvrbí.
-
to si asi nerozumíme, captive portal jako option DHCP odpovědi nemá nic společného s podvržením stránky při přístupu na jinou. OS dostane odpověď a otevře podle svých možností adresu captive portalu v nějakém webview, výchozím prohlížeči. To vůbec neznamená, že router na cestě bude dělat MitM na běžný provoz.
-
Zajímavé. Mám k tomu několik poznámek.
1. Má první Internetová přípojka se datuje do poloviny devadesátých let.
2. Tehdy jsem musel potvrdit kodex uživatele, který mj. zakazoval jakoukoli činnost, která by poškozovala ostatní uživatele Internetu.
3. Tato pravidla vylučovala připojení státní správy (mj.)Nevím, kde se stala chyba, ale tento stát se na internetu snaží být "rulerem" a při tom, je tam jenom HOSTEM stejně jako Vy.
Ruler je na I(i)nternetu americké ministerstvo obrany.
Ze strany ČR je to taková donkichotština do které poněkud ostudně vstupuje i CZ.NIC
Hint: Komu patří root DNSs ?
-
No, on ten captive portal taky s HTTPS fungovat nemůže, nakonec je jedno, na jaké úrovni se to udělá, pokud mi na pokus navázat HTTPS spojení zkusí někdo hijacknout a podvrhnout mi něco jiného, tak to prohlížeč pozná. Tedy pokud mluvíme o tradičním pojetí toho captive portal, kdy se prostě místo správné stránky zobrazí nějaká od jeho provozovatele. Dnešní prohlížeče ale mají nějakou featuru, kdy se pokoušení tyhle portály detekovat (tak, že zkusí své známé URL a dívají se, co se stane) a vyjít jim vstříc. Já tuhle featuru ale ve Firefoxu zásadně vypínám, protože pravidelně způsobuje, že když zapomenu zapnout připojení, tak i když ho pak zapnu a všechno funguje, prohlížeč dál zarputile trvá na tom, že nejsem připojený, dokud ho neukončím a nepustím znovu.
-
Tak ten závěr je špatně. Je to tak jak píše Michal Kubeček.
Ale viděl jsem ISPka, který unášel standardní DNS dotazy. Tzn. že i pokud jste dali DNS server Googlu, tak jej unesl a nahradil jinou IP adresou.
Navíc blokoval DoH na známé servery, takže se prohlížeč na ně nepřipojil.Takže to ne vždy musí být tak jednoduché.
-
To se samozřejmě stát může a HTTPS (nebo jakákoli jiná forma zabezpečeného spojení) z principu útočníkovi "na drátě", který může nejen poslouchat, ale do komunikace i zasahovat, nemůže zabránit v tom, aby bezpečnou komunikaci zablokoval. Ale může, při správné implementaci a použití, zabránit tomu, aby se uživateli zobrazila falešná stránka (ať už z jakýchkoli pohnutek) a on neměl šanci poznat, že se tak stalo. Samozřejmě je tu problém, že nepoučený uživatel, který na tu stránku moc chce, ochotně varování ignoruje, ale s tím už se moc dělat nedá, pokud zároveň chceme poučenému uživateli umožnit, aby je ignoroval ve chvíli, kdy ví co dělá a rozmyslel si, že žádné nebezpečí nehrozí.
-
Nevím, jak tu nezávislost myslíš, ale Musk se samozřejmě musel jako podnikatel v elektronických komunikací nahlásit dohledovému úřadu (ČTU) a musí mít PO někde v EU, bez toho by tady nemohl nabízet připojení k internetu.
Co jsem koukal před Vánoci, kdy jsme dělali nějaké zhodnocení pro použití u klientů, Starlink využíval k odbavení v Čechách registrovaného ISP Google Fi, který mu odbavoval provoz, předpokládám, že na tomhle se nic nezměnilo.
-
Jak už jsem psal, něco takového vyžaduje aktivní spolupráci na straně prohlížeče. Kdyby to dělal jen OS, prohlížeč by měl pořád protestovat proti tomu, že certifikát nesouhlasí s URL. Tak či onak se mi taková představa ani trochu nelíbí, protože taková featura umožňuje šikovnému a vybavenému útočníkovi provést MitM útok způsobem, který půjde snadno přehlédnout.
-
OS dostane odpověď a otevře podle svých možností adresu captive portalu v nějakém webview, výchozím prohlížeči.
To zní jako dost uhozený nápad, ale dokážu si představit, že Windows nebo tabletové/smartphonové OS (obecně OS založené na premisách "nic jiného než GUI neexistuje" a "Internet = web") by něco takového opravdu provádět mohly. Aspoň je šance, že si v takovém případě uživatel všimne, že se mu otevřelo další okno (případně se to stane ještě předtím, než vůbec zkusí zobrazit nějakou stránku), což by mohlo být trochu varováním.
-
Jistěže existují zahraniční služby, umožňující přístup k těmto "zakázaným" webům. Být provozovatel IT kasína, tak si je budu aktivně zajišťovat. Na ně naši opičáci nedosáhnou, a tak mají smůlu Z hazardních her jsem naposled hrál "čáru" někdy v 8. třídě ZŠ, aby bylo jasno.
Pan Musk poskytuje satelitové připojení, zcela nezávislé na našich providerech. -
To by CA musela někomu podepsat certifikát pro cizí doménu, horší varianta je, že by podepsala někomu vlastní CA a pak by mohl dělat MITM na všechny weby.
Těžko říct jestli se to nějak hlídá. Minimálně existují CAA záznamy do DNS, kde vlastník může definovat kdo mu může podepsat certifikát. Tak by se snad na nějaké nepravosti přišlo.
Jako trochu problém vidím, že práce s certifikáty v prohlížečích není více intuitivní a nelze lehce aktivovat/deaktivovat certifikáty.,
Např. hodně dávno jeden firemní produkt měl u všech certifikátu vlaječku země a přepínač pro deaktivaci důvěry. Navíc byly rozděleny i po kontinentech, které šlo také deaktivovat.
