Captive Portals: Ein Workaround, der bald nicht mehr funktionieren wird

Sogenannte Captive Portals, Vorschaltseiten, die in vielen WLANs zum Einsatz kommen, sind ein fragwürdiger Hack, der bald zu technischen Problemen führen wird. Trotzdem will die Bundesregierung ihnen jetzt Gesetzesrang verschaffen.

Artikel veröffentlicht am , Hanno Böck
Kostenlose, offene WLAN-Zugänge sind in Deutschland selten verfügbar. Wird das so bleiben?
Kostenlose, offene WLAN-Zugänge sind in Deutschland selten verfügbar. Wird das so bleiben? (Bild: Bence Damokos/Wikimedia Commons/CC-BY-SA 3.0)

Es dürfte den meisten Anwendern bekannt sein: Wer auf Bahnhöfen, in Hotels oder an anderen öffentlichen Orten das WLAN nutzt, wird meist zunächst auf eine Webseite des Betreibers weitergeleitet. Häufig kostet das WLAN Gebühren, manchmal kann man durch einen Klick den echten Netzzugang aktivieren. Diese Vorschaltseiten werden technisch auch als "Captive Portals" bezeichnet. Derartige Vorschaltseiten mit Rechtstreueerklärung könnten bald gesetzlich verpflichtend sein und als einzige Bedingung übrig bleiben, um als Betreiber offener WLANs von der Störerhaftung befreit zu werden. Daran gab es einige Kritik, vor allem aus den Reihen der Freifunk-Bewegung.

Stellenmarkt
  1. ERP-Berater im militärischen Bereich (gn)
    ESG Elektroniksystem- und Logistik-GmbH, Koblenz
  2. ITSM Applikations- und Prozessverantwortliche:r
    BLS, Köniz (Schweiz)
Detailsuche

Technisch funktionieren diese Captive Portals so, dass vor der Anmeldung HTTP-Zugriffe auf beliebige Webseiten manipuliert werden und der Nutzer einen HTTP-Weiterleitungscode (HTTP-Code 302) erhält, der auf die entsprechende Vorschaltseite umleitet. Fast immer ist es dabei übrigens so, dass DNS-Anfragen bereits vor der Anmeldung funktionieren. Dadurch ist es in vielen Fällen möglich, den Netzzugang mittels eines DNS-Tunnels auch vor der Anmeldung zu nutzen.

Man-in-the-Middle-Angriff auf HTTP-Verbindungen

Im Grunde handelt es sich um nichts anderes als einen Man-in-the-Middle-Angriff auf HTTP-Verbindungen. Möglich sind diese Angriffe nur deshalb, weil das HTTP-Protokoll keinerlei Gewährleistung für die Echtheit der übertragenen Daten bietet. Letztendlich nutzen Captive Portals eine Sicherheitslücke im HTTP-Protokoll, um Nutzer auf ihre Seiten umzuleiten. Technisch vorgesehen waren sie nie. Es gibt keinen Standard, der ihre Umsetzung beschreibt.

Die Schwächen von HTTP sind bekannt und sie sind einer der Gründe, warum in letzter Zeit der Ruf nach HTTPS-Verbindungen für alle Webseiten lauter wird. Google bevorzugt HTTPS-Webseiten in seinem Ranking, Let's Encrypt will dafür sorgen, dass die Ausstellung von Zertifikaten einfacher wird, und Anbieter wie Cloudflare oder Amazon bieten ihren Kunden inzwischen kostenlos HTTPS-Verbindungen an.

Golem Akademie
  1. Linux-Systeme absichern und härten
    8.-10. November 2021, online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
  3. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
Weitere IT-Trainings

Für Captive Portals wird das absehbar zu einem Problem. Schon jetzt haben Nutzer häufig bei der Anmeldung in entsprechenden WLANs die Schwierigkeit, dass viele große Webseiten wie Google, Facebook oder Twitter nur noch über HTTPS erreichbar sind. Dank HSTS ist gewährleistet, dass sich diese Seiten überhaupt nicht mehr unverschlüsselt aufrufen lassen.

Um dieses Problem zu umgehen, gibt es inzwischen Workarounds. Verschiedene Betriebssysteme versuchen, entsprechende Captive Portals zu erkennen, indem das System eine voreingestellte HTTP-URL mit bekanntem Inhalt aufruft. Erkennt das System ein Captive Portal, so wird ein Notification-Icon angezeigt. Doch zuverlässig funktioniert diese Erkennung nicht.

Arbeitsgruppe listet Probleme auf

Eine Arbeitsgruppe bei der IETF (Internet Engineering Task Force) beschäftigt sich inzwischen mit Captive Portals. Langfristig könnte hier möglicherweise ein Standard entstehen, der eine bessere Lösung für das Login in derartigen Netzen entwickelt. Doch auf allzu schnelle Abhilfe sollte man hier nicht hoffen: Bislang gibt es lediglich eine Wiki-Seite, die die erheblichen Probleme der bestehenden Lösungen aufzählt.

Wir haben beim Bundeswirtschaftsministerium nachgefragt, ob dort die technischen Probleme von derartigen WLAN-Vorschaltseiten bekannt sind und ob man dort über die Arbeit der entsprechenden IETF-Arbeitsgruppe informiert ist. Beantwortet hat das Ministerium unsere Fragen nicht, wir erhielten lediglich eine ausweichende Stellungnahme. "Eine Vorschaltseite stellt in diesem Zusammenhang lediglich eine von zahlreichen denkbaren Möglichkeiten dar", erklärte eine Ministeriumssprecherin Golem.de. "Andere wären z. B. die Zustimmung zu AGB oder die mündliche Zusicherung etwa im privaten Umfeld."

Dass der Gesetzentwurf auch andere Möglichkeiten für die Nutzer vorsieht, um die Rechtstreue zu erklären, ist korrekt. Doch alle anderen Varianten dürften kaum praktikabel sein. In der Praxis dürften WLAN-Vorschaltseiten häufig die einzige Möglichkeit darstellen - und mittelfristig dank der Verbreitung von HTTPS zu immer mehr Problemen führen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


neocron 17. Mär 2016

darfst du auch gern so sehen, ich halte da alle fuer gleich inkompetent/kompetent...

mixedfrog 09. Feb 2016

Wenn man das alles nutzen will, dann macht man einmal den Browser auf, besucht das...

Perma 08. Feb 2016

...das wird noch einige Zeit funktionieren hab ich die Befürchtung.

SteamKeys 08. Feb 2016

weil sie in 99% der fälle auf iptables angewiesen sind.

Golressy 08. Feb 2016

Vielleicht noch mit Captcha? Jeder wer schon mal ein Captcha mit einer Smartphone...



Aktuell auf der Startseite von Golem.de
Mobiles Betriebssystem
iOS 15 mit Focus, OCR und schickem Facetime

Apple hat iOS 15 für iPhones und den iPod Touch vorgestellt. Radikale Neuerungen sind nicht dabei, dafür aber einige interessante Funktionen.

Mobiles Betriebssystem: iOS 15 mit Focus, OCR und schickem Facetime
Artikel
  1. Windows 11: Geplante Obsoleszenz ist schlecht, Microsoft!
    Windows 11
    Geplante Obsoleszenz ist schlecht, Microsoft!

    Kunden ärgern sich darüber, dass ihre vier Jahre alten Prozessoren bereits kein Windows 11 mehr unterstützen. Zu Recht.
    Ein IMHO von Oliver Nickel

  2. Apple Watch: watchOS 8 mit Achtsamkeits-Funktion und Porträt-Zifferblatt
    Apple Watch
    watchOS 8 mit Achtsamkeits-Funktion und Porträt-Zifferblatt

    Apple hat für die Apple Watch mit watchOS 8 ein neues Betriebssystem vorgestellt, das neue Zugriffs-, Konnektivitäts- und Achtsamkeitsfunktionen auf die Smartwatch bringt.

  3. Diablo 2 Resurrected: Entwickler äußern sich zu Blizzard-Boykott
    Diablo 2 Resurrected
    Entwickler äußern sich zu Blizzard-Boykott

    Für viele Spieler wäre Diablo 2 Resurrected ein Pflichtkauf. Blizzard soll aber nicht unterstützt werden. Das sagen Entwickler zum Dilemma.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MM-Prospekt (u. a. Asus Gaming-Notebook 17" RTX 3050 1.099€) • PCGH-PC mit Ryzen 5 3600 & RTX 3060 999€ • Samsung 970 Evo Plus 1TB 99€ • Saturn Hits 2021 (u. a. Philips 55" OLED 120Hz 1.849€) • Corsair RGB 16GB Kit 3600MHz 87,90€ • Dualsense Schwarz + Deathloop 99,99€ [Werbung]
    •  /