Редірект користувачів https!

[chinhis 0]

Цікавить хто як реалізував редірект боржників при наступній ситуації:

 

Більшість юзерів користуються хромом, і в ньому по дефолту в основному, всьо що пишеться в адресній строці шукає через гугле, який працює по https.

 

таке правило не спрацьовує ${FwCMD} add 6 fwd 127.0.0.1,80 ip from table\(47\) to not me dst-port 443.

 

Відповідно треба піднімати в себе на апачі https і 443 порт переадресовувати на свій 443 (${FwCMD} add 6 fwd 127.0.0.1,443 ip from table\(47\) to not me dst-port 443)

 

Але в такому випадку браузер сповіщає про підміну сертифікату.

 

Отож, може хтось має рецепти як побороти редірект https

 

 

[KaYot 3 708]

HTTPS для того и придуман, что б запретить возможность подмены адреса сайта или содержимого страницы. Редирект без варнингов не получится.

[chinhis 0]

Так як би ж то були варнінги з моливістю продовжити. Хром сповіщає про підміну і рекомендує тіки обновити сторінку - відповідно при таких розкладах юзер ніколи не побачить сторінку "дай бабла". Чув ще про варіант ставити squid, але не знаю чи не буде глюків з ubilling, якшо ще на сервак squid причепити (все поки шо на одному серваку).

 

- Щось не віриться що ніхто нічого не придумав на цей випадок....

Відредаговано 2014-03-29 08:43:36 chinhis

[SVD 6]

у меня на заглушке есть пару ссылок для проверки инета сделанные для случая когда хором например очень любит закешировать страницу так что даже после пополнения заглушку выкидывает все равно. Все они на https сайты, google например. Вроде эффект есть  за год юзания ни разу не позвонил за не корректную работу заглушки.  По моему эту задачу можно частично решить с помощью squid.

[Demid 2]

теоритически должно сработать, создать файл .htaccess еще с 1 редиректом на страницу с 80 портом

Відредаговано 2014-03-29 11:06:44 Demid

[major12 12]

Не спрацює ! Браузер не прийме ніяких даних через невалідний сертифікат.

 

Як зараз розшифровується HTTPS для наприклад фаєрфокса

 

рівень 1 - локальна машина

 

Програма-антивірус, типу касперського дописує свій сертифікат в довірені кореневі сертифікати вндовс,

Коли браузер звертається до google.com, програма на льоту формує сертифікат для google.com і підписує його своїм довіреним сертифікатом.

Відповідно антивірус може розшифрувати запит, далі з'єднатись з справжнім гуглом і передати дані знову користувачу, причому дані можуть бути перевірені на віруси чи навіть змінені.

 

Дистанційно (коли немає контролю над машиною) - не працює

 

рівень 2 - підприємство

 

Тут всі віндовс машини входять в домен. І сертифікат інсталюється через політики на всі комп'ютери. Далі див рівень 1.

 

Дистанційно (коли немає контролю над доменом) - не працює

 

рівень 3 - держава

 

Наприклад Китай може надавити (і так і робить) на центр сертифікації і отримати можливість генерувати сертифікати для будь-якого сайту в світі.

Wiki: GFW can use a root certificate from CNNIC, which is found in most operating systems and browsers, to make a MITM attack

 

Дистанційно - працює. Перехоплюється трафік всього населення.

 

Але є одне але

Хром для google.com робить додаткову перевірку і унеможливлює цю атаку.

https://www.imperialviolet.org/2011/05/04/pinning.html

Starting with Chrome 13, we'll have HTTPS pins for most Google properties. This means that certificate chains for, say, https://www.google.com, must include a whitelisted public key. It's a fatal error otherwise. The whitelisted public keys for Google currently include Verisign, Google Internet Authority, Equifax and GeoTrust.

 

Отже якщо мова йде про хром і сайти гугла - там нічого не ламається навіть на рівні держави (крім США мабуть).

 

Підсумок для ТС:

Якщо у вас не контрольований гуртожиток чи підприємство, а звичайні абоненти, тоді щоб поламати HTTPS і показати сторінку-заглушку вам потрібно мати кума-брата-свата в уряді Китаю (для звичайних браузерів) чи спецслужбах США (для хрому і доменів google).

[KaYot 3 708]

Примерно об этом я и говорил. Раньше в фаерфоксе/опере была кнопочка 'все равно продолжить', но походу ее ликвидировали и больше химичить с сертификатами не выйдет вообще.

[Den1xxx 1]

Примерно об этом я и говорил. Раньше в фаерфоксе/опере была кнопочка 'все равно продолжить', но походу ее ликвидировали и больше химичить с сертификатами не выйдет вообще.

Таки кнопка у меня такая на последнем FF работает. Хотя версию — две назад искал, не находил

[chinhis 0]

Після того як налаштував https на апaчі згідно статті http://freebsd.3dn.ru/publ/nastrojka_avtorizacii_na_veb_servere_apache_po_sertifikatu_polzovatelja_2009/4-1-0-812

для підключення сервісу оплати через приват. Якось запрацювало. Тобто в гугл все рівно видає варнінг про підміну сертифікату, але відкриває ше одну вкладку з потрібним мені контентом. Закономірності не шукав, як запрацювало хз )))