Logowanie do portalu przechwytującego – co to jest i jak działa?

Logowanie do portalu przechwytującego to obowiązkowy krok w wielu sieciach Wi-Fi, gdzie przed dostępem do internetu musisz zaakceptować regulamin lub podać dane. Jednak identyczny interfejs bywa też wykorzystywany przez cyberprzestępców do kradzieży poufnych informacji. Zapraszam do lektury, która wyjaśnia oba te oblicza i podpowiada, jak zachować bezpieczeństwo.

Czym jest portal przechwytujący i gdzie go spotkasz?

Mechanizm logowania do portalu przechwytującego to zabezpieczenie stosowane głównie w publicznych sieciach Wi-Fi. Jego zadaniem jest przekierowanie ruchu użytkownika na specjalną stronę, zanim uzyska on pełny dostęp do sieci. Dzięki temu operatorzy mogą prosić o akceptację warunków korzystania z usługi lub o dokonanie płatności. Sieci zarządzane w firmach i szkołach często domyślnie wyłączają automatyczne wykrywanie takich portali, ponieważ konfiguracja z zaporą sieciową lub serwerem proxy może zakłócać ten proces.

Niestety nie każda fałszywa strona logowania jest tak niewinna. Zagrożenie oznaczone jako Android/Spy.Agent.SI, wykrywane przez firmę Eset, rozprzestrzenia się jako aplikacja podszywająca się pod Flash Player. Po pobraniu z zainfekowanej strony, instaluje się ono na urządzeniu z uprawnieniami administratora, co znacznie utrudnia jego usunięcie. To sprawia, że rozpoznanie, czy ekran logowania jest autoryzowany, czy pochodzi od cyberprzestępców, staje się niezwykle ważne.

Wspomniane zagrożenie potrafi przechwycić wiadomości SMS potrzebne do autoryzacji przelewów, a następnie przesłać je na serwer kontrolowany przez cyberprzestępców. Dzieje się to w sposób niewidoczny dla użytkownika – wyjaśnia Kamil Sadkowski, analityk zagrożeń z Eset.

Jak działa atak z użyciem fałszywego portalu?

Szkodnik najpierw skanuje urządzenie w poszukiwaniu aplikacji mobilnych dwudziestu największych banków działających w danym kraju. Gdy tylko zidentyfikuje odpowiednią aplikację, natychmiast wyświetla ofierze idealnie odwzorowaną fałszywą stronę logowania do rachunku bankowego. Ekran jest blokowany do momentu, w którym użytkownik wprowadzi swoją nazwę i hasło. Po wpisaniu dane te nie trafiają do banku, a wędrują bezpośrednio do cyberprzestępców.

Oprócz wykradania loginu i hasła, złośliwe oprogramowanie przechwytuje także przychodzące wiadomości SMS z kodami autoryzującymi przelewy. Kody są w ukryciu przesyłane na serwer kontrolowany przez cyberprzestępców. W ten sposób przestępcy błyskawicznie autoryzują transakcje i skutecznie wykradają pieniądze z kont swoich ofiar, zanim te zorientują się, że doszło do włamania.

Jak uchronić się przed złośliwą stroną logowania?

Podstawową zasadą bezpieczeństwa jest instalowanie aplikacji wyłącznie z oficjalnych kanałów dystrybucji, gdzie oprogramowanie podlega weryfikacji. Bezwzględnie należy unikać pobierania plików APK z niezaufanych źródeł, nawet jeśli strona internetowa twierdzi, że oferuje niezbędną aktualizację. Prośba o ręczną instalację wtyczki do odtwarzania multimediów to jeden z klasycznych sygnałów ostrzegawczych.

Ochronę znacząco podniesie też obecność oprogramowania antywirusowego na smartfonie, które bywa dostępne całkowicie bezpłatnie. Wykryje ono podejrzane zachowania i zablokuje możliwość instalacji szkodnika z uprawnieniami administratora. Pamiętaj, że nowoczesne wersje zagrożeń stale ewoluują i coraz lepiej kamuflują swoją obecność, jednak czujność oraz automatyzacja obrony to skuteczna bariera przed kradzieżą pieniędzy i danych.

Jak włączyć wykrywanie portalu przechwytującego w ChromeOS?

Administratorzy zarządzający flotą urządzeń z ChromeOS mogą skonfigurować wykrywanie portalu w sieciach Wi-Fi za pośrednictwem konsoli administracyjnej Google. Opcja ta jest domyślnie wyłączona w przypadku sieci zarządzanych, ponieważ zapory sieciowe oraz serwery proxy często błędnie oznaczają połączenie jako niedostępne. Jeśli Twoja organizacja udostępnia sieć dla gości lub współpracuje z hotelami, które wymagają logowania, włączenie tej funkcji jest niezbędne.

Po zalogowaniu się na konto administratora, przejdź do sekcji Urządzenia > Sieci. Z listy dostępnych sieci Wi-Fi wybierz tę, którą chcesz zmodyfikować i rozwiń ustawienia portalu przechwytującego. Do wyboru masz konfigurację domyślnie wyłączoną, tryb włączony z automatycznym sprawdzaniem adresów URL HTTPS i HTTP, a także dodatkową opcję tylko sondy internetowe HTTP, która przydaje się w środowiskach z restrykcyjnym filtrowaniem ruchu szyfrowanego. Każdą zmianę trzeba zapisać, aby została automatycznie przekazana na urządzenia.

Aby ustawienie dotyczyło wyłącznie wybranej grupy użytkowników, na początku procesu wybierz odpowiednią jednostkę organizacyjną. W momencie, gdy wykrywanie portalu przechwytującego jest aktywne, urządzenie z ChromeOS po połączeniu z Wi-Fi wyświetla czytelne powiadomienie o konieczności logowania. Strona z warunkami otwiera się automatycznie w oknie przeglądarki, co eliminuje ręczne wpisywanie adresu i przyspiesza cały proces. Przy wyłączonej detekcji użytkownik musi samodzielnie uruchomić przeglądarkę i odgadnąć, że potrzebna jest dodatkowa autoryzacja, co często prowadzi do frustracji i zgłoszeń o rzekomym braku internetu.

Dlaczego portal przechwytujący nie działa i jak ominąć problem?

Problemy z ładowaniem strony logowania często wynikają z błędów komunikacji między urządzeniem a siecią. Użytkownicy zgłaszają wtedy komunikaty: błąd „Urządzenie nie może połączyć się z żadną siecią bezprzewodową” lub błąd „Sieć niedostępna”. Przyczyną leży zazwyczaj w blokadzie na poziomie zapory sieciowej, która nie przepuszcza ruchu do niezbędnych adresów. Aby system ChromeOS mógł potwierdzić łączność z internetem, hosty weryfikacyjne muszą być dostępne przez HTTP na porcie 80.

Zezwolenie na dostęp do dodatkowych hostów jest pierwszym krokiem do usunięcia usterki. W środowiskach, gdzie wdrożono inspekcję ruchu szyfrowanego, konieczne staje się również skonfigurowanie wyjątków dla kontroli TLS oraz SSL. Polega to między innymi na uzupełnieniu listy dozwolonych nazw hostów, by narzędzia bezpieczeństwa nie ingerowały w certyfikaty stron wykorzystywanych do detekcji portalu.

Jak sprawdzić, czy portal jest widoczny dla użytkowników gościnnych?

Weryfikację warto rozpocząć od podłączenia testowego sprzętu do zarządzanej sieci Wi-Fi i sprawdzenia, czy powiadomienie o konieczności logowania pojawia się automatycznie. Jeśli nie, należy ręcznie uruchomić okno przeglądarki i spróbować wywołać dowolną stronę niezabezpieczoną protokołem HTTPS. Przekierowanie na stronę logowania portalu przechwytującego potwierdzi, że mechanizm działa, a problem leży jedynie w automatycznej detekcji.

Jak przygotować portal w ramach inicjatywy WiFi4EU?

Realizacja projektu WiFi4EU wymaga od integratora poprawnego skonfigurowania portalu przechwytującego na platformie zarządzania, takiej jak cnMaestro dla urządzeń cnPilot serii E. Cały proces startuje od zalogowania się na konto i przejścia do sekcji Guest Access Portal w zakładce Services. Niezwykle istotne jest załadowanie pliku wifi4eulogo.png jako oficjalnego logo, ponieważ urzędnicy unijni odrzucają projekty pozbawione wymaganego oznakowania wizualnego.

W ustawieniach wizualnych zmień kolor tła przy pomocy opcji Logo Background, przesuwając suwak maksymalnie w lewo. Następnie włącz portal znacznikiem WiFi4EU Enable, ustaw język polski i zaznacz Enable Self-test Modus. Tryb testowy należy wyłączyć dopiero w momencie, gdy na stronie projektu WiFi4EU zostanie wygenerowany Network UUID. Identyfikator UUID powstaje po podaniu Captive Portal URL oraz zakresu podsieci, z której łączą się punkty dostępowe – standardową praktyką jest wpisanie 0.0.0.0/0.

Po aktywacji trybu testowego kliknij Show Logo i zatwierdź zmiany przyciskiem Save. Każda kolejna modyfikacja również musi być zapisana, aby została utrwalona. Prawidłowo skonfigurowany portal wyświetla logo oraz polskie napisy informacyjne.

Jak dodać treść i zasady do portalu?

Sekcja Content pozwala na umieszczenie regulaminu oraz ustalenie adresu docelowego po pomyślnym zalogowaniu. W polu On Success Redirect to URL wklej link, na który ma trafić użytkownik po kliknięciu przycisku akceptacji. Wszystkie informacje muszą być podane w języku polskim, aby były zrozumiałe dla lokalnych mieszkańców. Po dodaniu treści ponownie użyj przycisku Save – pominięcie zapisu skutkuje utratą wprowadzonych danych.

Jak przejść weryfikację i zebrać wymaganą liczbę logowań?

Instytucja INEA uznaje instalację za funkcjonującą, gdy co najmniej dziesięć różnych urządzeń klienckich pomyślnie przejdzie proces logowania. W fazie testowej warto poprosić pracowników urzędu lub mieszkańców o pomoc w uzyskaniu odpowiedniego ruchu. Gdy testy wypadną pomyślnie, koniecznie usuń zaznaczenie Enable Self-test Modus, inaczej weryfikacja unijna może nie zakończyć się sukcesem. Cały proces szczegółowo opisuje też dokument Konfigurowanie sieci dla urządzeń zarządzanych, który warto mieć pod ręką podczas pracy.

Nowoczesne wykrywanie portalu na Androidzie

Urządzenia począwszy od Androida 11 wykorzystują zaawansowany interfejs API portalu przechwytującego, zgodny z RFC 8908. Zastąpił on starszą metodę polegającą na wysyłaniu sond HTTP do serwerów takich jak connectivitycheck.gstatic.com, która często zawodziła w sieciach stosujących niestandardowe reguły blokowania. Teraz punkty dostępowe mogą same zadeklarować, że sieć jest portalem przez opcję DHCP 114, a urządzenie pobiera odpowiedni ładunek JSON i od razu wyświetla użytkownikowi stronę logowania.

Zaimplementowany interfejs udostępnia też przydatne metadane. Pole seconds-remaining informuje system Android o pozostałym czasie trwania sesji, a podanie venue-info-url sprawia, że na ekranie szczegółów sieci pojawia się przycisk do witryny z informacjami o miejscu. Użytkownik może zatem sprawdzić mapę lotniska, rozkład lotów czy inne komunikaty bez wyszukiwania ich ręcznie.

Nowoczesne logowanie w Androidzie może też działać przez niestandardowe karty Chrome. W porównaniu do starego komponentu WebView, zapewniają one obsługę autouzupełniania danych logowania i płatności jednym kliknięciem, co zmniejsza ryzyko błędów przy ręcznym wpisywaniu haseł. Obsługiwane są również treści chronione DRM, a sama sesja pozostaje aktywna w tle i nie zrywa się przy przełączaniu między aplikacjami.

Sposób działania nowego API

Gdy serwer DHCP przekaże adres URL interfejsu API przez opcję 114, urządzenie natychmiast wysyła do niego żądanie GET. W odpowiedzi otrzymuje obiekt JSON zawierający flagę captive. Jeśli jej wartość to true, Android od razu wywołuje stronę user-portal-url bez oczekiwania na klasyczne przekierowanie. Przy fladze false system kontynuuje sprawdzanie łączności sondami HTTP i HTTPS, oczekując, że obie zakończą się sukcesem przed przyznaniem pełnego dostępu do internetu.

Jak włączyć niestandardowe karty Chrome?

Aby zaoferować użytkownikom Androida w pełni bezpieczne logowanie z autouzupełnianiem, operator sieci musi dodać do odpowiedzi JSON parametr x-android-use-custom-tabs. Wartość tego pola to numer wersji modułu CaptivePortalLogin – aktualnie jest to 361335020. Urządzenia z Androidem 12 lub nowszym, które mają zaktualizowany moduł sieciowy przez Google Play, automatycznie uruchomią przepływ logowania w wysokowydajnym środowisku przeglądarki, rezygnując z podstawowego okna systemowego.

Pełna odpowiedź JSON może wyglądać następująco: „captive”: true, „user-portal-url”: „https://login.example.com”, „venue-info-url”: „https://venue.example.com”, „seconds-remaining”: 3600, „x-android-use-custom-tabs”: 361335020. Aplikacja do logowania w portalu przechwytującym, która jest częścią modułu Network Stack, odbiera ten zestaw danych i zarządza sesją aż do jej wygaśnięcia. Dzięki aktualizacjom Mainline, wszelkie usprawnienia mechanizmu mogą być dostarczane na urządzenia bez konieczności pełnej aktualizacji systemu operacyjnego.

Jeśli certyfikat serwera API jest nieprawidłowy lub podpisany samodzielnie, urządzenie całkowicie pomija nowy mechanizm i powraca do starszego sposobu działania portalu przechwytującego.

Przygotowując infrastrukturę sieciową, zadbaj o to, by wszystkie hosty odpowiedzialne za weryfikację łączności były osiągalne przez HTTP na porcie 80. Gdy korzystasz z kontroli TLS lub SSL, nie zapomnij dodać wyjątków na liście zaufanych nazw, tak aby pakiety modułu CaptivePortalLogin mogły bez przeszkód potwierdzić połączenie z internetem. Prawidłowa implementacja tych mechanizmów gwarantuje, że użytkownicy nie będą widzieli mylących błędów „Sieć niedostępna”, a logowanie przebiegnie szybko i bezproblemowo.