Captive Portalについて議論を行うcapport wgが出来、IETF95で初めてのミーティングが行なわれます。
Captive Portalとは、よくWi-Fi接続後にブラウザでWebベースの認証が別途要求されるアレです。このCaptive Portalが引き起こす問題について議論をするために、Problem Statementである「Before You Log In, Here's A Brief Message From Our Sponsors!」というI-Dが提出されている。
このI-DではCaptive Portalの定義、及びCaptive Portalの問題、OS・ブラウザなどのCaptive Portal検出機能によって引き起こされる問題について記述されている。
ざっとメモ（割と適当）。
主なCaptive Portalのしよう理由
- "認証" ユーザのネットワークアクセスを認可する前にユーザのクレデンシャルを取得する
- "課金" ネットワークの使用に対して課金を行う
- "情報" ユーザに情報を提供する。これは法的な通知、ネットワーク提供者やその所在、広告など
- "通知" captive portalと同様の仕組みでユーザにアカウントのステータス、ネットワークダウンタイム、緊急のアラートなどを通知する
Captive Portalが引き起こす問題
偽陰性
Captive Portalの検出に幾つかの異なった手法が使用されるため、実際にはCaptive Portalがあるにもかかわらず、OSやブラウザはオープンなネットワークだと考えてしまうことは普通に起こりえる。
混乱
Captive Portalは事実上の中間者攻撃であるため、ユーザやユーザエージェントを混乱させます。たとえばCaptive PortalのTLS証明書が要求されたサイトとマッチしなかったり、Captive Portalのfaivicon.icoがもともと要求したサイトのものとして使用された時です。
TLS
Captive Portalは、TLSセッション(HTTPS/IMAPといった)を仲介しようとしますが、それはクライアント上での証明書エラーをひきおこし、そのようなエラーでもクリックするような悪い習慣づけてしまいます。
期待されない設定
幾つかのCaptive Portalはユーザの通信をCaptive Portalに向けるためにDNS通信への割り込みを行います。しかし、ユーザが自信でDNSなどをサーバを設定していた場合はうまく動作しません。
特権情報へのアクセス
たとえばソーシャルメディアへのログイン情報や、広告のターゲティング・トラッキング情報といったユーザの外部情報を利用しようとするCaptive Portalもあります。
Captive Portalは事実上中間者攻撃を行うため、これらの機能がユーザのリスクとなりえます。
Captive Portalの検出が引き起こす問題
Captive Portalのネットワーク内にいる際、多くのOSはそれを検出しようとします。検出はいくつかの方法でCaptive Portalによる影響を最小化するために行われます。幾つかのネットワークではCaptive Portalの検出が問題を引き起こします。
偽陽性
幾つかのネットワークはログインするためにWebブラウザを使用しません。ネットワークにアクセスするためにVPNを要求した場合、HTTPに依存するCaptive Portal検出は逆効果となってしまいます。
非インターネット・ネットワーク
幾つかのアプリケーションやネットワークはインターネットアクセスを仮定しません。しかし、Captive Portal検出はしばしばインターネットアクセスをネットワークアクセスを同じものとして考えます。
