Wissen
Zwei Warnungen, die gleich aussehen.
Zertifikatswarnungen am Gästeportal haben zwei verschiedene Ursachen. Die eine liegt im Wesen der Umleitung und lässt sich nicht wegkonfigurieren. Die andere ist ein Einrichtungsfehler.
Ursache eins
Eine Umleitung sieht aus wie ein Angriff.
Ein Captive Portal funktioniert, indem es den Aufruf des Gastes abfängt und auf die eigene Seite lenkt. Das ist im Ablauf dasselbe, wovor Verschlüsselung schützen soll: Jemand antwortet anstelle des Servers, den der Gast angesprochen hat.
Solange der Gast eine unverschlüsselte Adresse aufruft, fällt das nicht auf. Ruft er eine verschlüsselte auf, muss die abfangende Stelle ein Zertifikat vorzeigen. Ausgestellt ist ihres aber nicht auf die Adresse, die der Gast eingegeben hat. Der Name stimmt nicht überein, und genau darauf prüft der Browser. Er meldet, was er sieht.
Was HSTS daraus macht
Aus der Warnung wird eine Sperre.
Große Anbieter hinterlegen bei den Browsern, dass ihre Adressen ausschließlich verschlüsselt aufgerufen werden dürfen. Das ist HSTS. Für die Umleitung hat das eine unangenehme Folge.
Nicht wegklickbar
Bei einer gewöhnlichen Warnung kann der Nutzer weitergehen. Bei einer HSTS-Adresse nicht: Der Browser bricht ab, und die Portalseite erscheint gar nicht erst.
Ausgerechnet die Startseiten
Betroffen sind die Adressen, die Gäste zuerst aufrufen, weil sie ohnehin im Browser stehen. Wer eine Suchmaschine öffnet, um online zu gehen, trifft die Sperre zuerst.
Der Ausweg von Hand
Es hilft, eine unverschlüsselte Adresse aufzurufen. Nur weiß das kein Gast, und niemand sollte es wissen müssen.
Deshalb die Prüfabrufe
Genau darum prüfen Betriebssysteme selbstständig über eigene unverschlüsselte Adressen, ob ein Portal im Weg steht. Nicht die Umleitung bringt die Anmeldung, sondern diese Prüfung.
Ursache zwei
Die zweite Warnung muss nicht sein.
Sie entsteht nicht beim Abfangen fremder Adressen, sondern an der Portalseite selbst. Wird sie über eine IP-Adresse ausgeliefert, kann kein Zertifikat dazu passen, denn Zertifikate werden auf Namen ausgestellt. Wird sie mit einem selbst ausgestellten Zertifikat ausgeliefert, kennt es niemand. In beiden Fällen sieht der Gast eine Warnung, bevor er irgendetwas anderes sieht.
Der Unterschied zur ersten Ursache ist entscheidend: Diese hier ist eine Frage der Einrichtung. Ein Name, unter dem die Seite erreichbar ist, ein öffentlich gültiges Zertifikat darauf, und die Warnung entfällt. Dazu gehört auch die Uhr des Geräts, denn ohne korrekte Zeit gilt jedes Zertifikat als ungültig.
Weiter
Wenn die Anmeldung gar nicht erscheint.
Das Zertifikat ist eine von mehreren Ursachen. Die Reihenfolge, in der man sie prüft, steht auf der Seite zur Fehlersuche.