Část zákazníků O2 měla problém s načítáním některých webů [AKTUALIZOVÁNO]

To je teda dost průšvih, protože to znamená, že manipulují s provozem.

Bohužel nejde o nic nového.
https://twitter.com/zajdee/status/932155957022519298?s=20
https://twitter.com/zajdee/status/931441657874087936?s=20

https://twitter.com/hejna_petr/status/980166574517686273?s=20

Technologii na to mají roky, dělají to "jen občas". Kontroverzní bylo přesměrování na "železnou oponu" i opakované přesměrování pro získání GDPR souhlasů se zasíláním reklamních sdělení (přičemž na webu nešlo odmítnout, šlo jen žádost odložit). V případě železné opony mi ČTÚ napsalo, že se čin stal, ale není společensky nebezpečný, takže to bude bez pokuty. V případě toho triku s GDPR souhlasy si to převzal ÚOOÚ a pak už jsem o nich neslyšel.

Ale oni to prostě v síti budou mít, budou, budou, budou.

11. 2. 2021, 15:04 editováno autorem komentáře

Kdyz provider saha do provozu, ma toho spolecneho dost.

Kdyby se jen rozbil vypínač, zapnulo by se to s výchozími pravidly – která by neměla nic měnit. Je to možné, ale znamenalo by to souběh dvou chyb najednou. Bojím se, že ty redirecty unášejí normálně a teď se jim jenom rozbilo to pravidlo určující co se kam má přesměrovávat. Bylo by fajn, kdyby někdo v síti O2 ověřil, zda za normálního stavu s provozem opravdu nemanipulují.

Každopádně je to argument, že opravdu vše má být na HTTPS a má to mít HSTS.

Že to dělali dříve ve speciálních případech víme. Ta současná chyb ale znamená, že se nepoučili a dělají to dál, a hlavně že to dělají běžně.

A také to znamená, že HTTP provozu (bez TLS) je pořád výrazně víc než by bylo zdrávo.

Jedná se o zákazníky služby internetového připojení pro domácnosti a firmy (mobilní telefony, ADSL apod.), nebo o zákazníky hostingových a cloudových služeb? To první by byl dost velký průšvih.

Ano, nezalezi na DNS

když už na tom máš infrastrukturu, těžko jí budeš odpojovat a připojovat, když zrovna chce marketing. Museli kvůli tomu nakoupit dost drahé krabičky a udělat hodně vývoje. Celý provoz běží přes zařízení, které jsou schopné dělat MitM na nešifrovanou komunikaci.

Osobně si dokonce myslím, že to zkoušeli i na tu šifrovanou, ale to už je více za hranou.

Z toho, že to zřízení mají, ještě neplyne, že musí být aktivní a do provozu zasahovat. Ale z té aktuální chyby plyne, že pravděpodobně do provozu zasahují průběžně.

Co jsem pochopil, tak provider zneužíval útok man-in-the-middle u http provozu. HTTPS obsah je šifrovaný a především adresný. Je to jako posílat si malé trezory, pošta do nich nevidí a přečte je jen ten, kdo má klíč. HTTP jsou pohledy. Přečte to každý a pošťák (O2) se občas podíval kdo komu píše a doručil vlastní pohled místo toho očekávaného. Teď se jim něco porouchalo, takže pošťák sbíral pohledy, ale neposílal je dál ani je nenahrazoval svými.

Je to to první. Nefungoval například vyhledávač DuckDuckGo.

Týká se to i lidí, co mají nastavené jiné DNS než od O2?

ale to už víme, viz jejich občasné marketingové akce (myslím, že naposledy to bylo s výročím 100 let ČR), kdy pro http komunikaci podstrkávají svoji stránku.

V médiích lze najít už deset let jejich snahy s provozem manipulovat, viz https://archiv.ihned.cz/c1-65181480-valka-o-reklamu-zpravodajske-servery-zablokuji-svuj-obsah-pokud-je-o2-pripravi-o-prijmy-z-online-inzerce nebo https://archiv.ihned.cz/c1-65181480-valka-o-reklamu-zpravodajske-servery-zablokuji-svuj-obsah-pokud-je-o2-pripravi-o-prijmy-z-online-inzerce

Vzhledem k tomu, že se s operátory znám pracovně, nemohu jim nadávat, ale vpn je v těhle případech vždy dobrá cesta.

"Problém nastává obvykle v případě, že uživatelé zadávají adresu ve tvaru „[jmenodomeny].cz“ Pokud URL zadají v celé podobě, tedy včetně „https://www.[jme­nodomeny].cz“, většinou se na web dostanou."

Jake www? Takhle se toho www moru nikdy nezbavime. A https tam snad doplnuje prohlizec, ne?

Vysvetli mi nejaky znalejsi, co se tedy vlastne stalo? Jak ips zasahoval do provozu? Tento problem me postihl take, ale jedine co jsem poznal bylo, ze mi nesly weby bez https

Manipulovali ještě o řadu let dřív, tehdy u mobilního připojení - a dostali za to od ČTÚ pokutu: https://www.abclinuxu.cz/blog/kacirstvi/2005/10/prasiti-se-nema

No přesně to mě napadlo. Nějak jsem nechápal co přesměrování http -> https společnýho s ISP.

To je prostě neskutečný.

Nemusí to náhodou dělat ze zákona - viz. "Zákon o hazardních hrách"?

A to poslední tři dny ve večerních špičkách jde rychlost skoro k 0. Je zjevné, že něco dělají s řízením provozu, zvláště po této zprávě.

11. 2. 2021, 13:42 editováno autorem komentáře

Ne, ale (Firefoxu) to můžete zapnout. Ovšem je překvapivé, jak často musíte potom ručně povolit použití HTTP - zkrátka zdaleka ne všechno na HTTPS je, navíc ani leckteré zkracovače HTTPS nemají, takže je to trošku otravné.

Ja ted neresim http/https, ale co ma priveder spolecneho s aplikacnim protokolem.

tam je přípustná blokace pouze přes DNS

Tam stačí blokace přes DNS. Přípustné jsou i jiné způsoby, nicméně řešit jen HTTP a ne HTTPS by jim nepomohlo a na HTTPS MitM reálně dělat nemohou.

Vždy to bude v zájmu bezpečnosti a požadavků státu . Teď se něco provalilo , ale stejně si za týden nikdo nevzpomene . Když už jsme ty stroje koupili , musí se taky využít , pravda transparentnost trochu zakulhala ...

Která složka státu podle vás může vznášet takovéto požadavky? Co to má společného s bezpečností, když je to zaměřené na protokol, který už nikdo podstatný nepoužívá?

Ten, se kterým byl problém a o kterém je celá diskuse – protokol HTTP (bez TLS).

S tim protokolem zadny problem nebyl. Akorat 02 na nem provadi MITM utoky.

Ti, kteří tím problémem byli postiženi, si myslí, že o problém šlo. Vám možná nevadí, když na vaši komunikaci někdo úspěšně útočí. Možná vám nevadí, když se nedostanete na požadovaný web. Většina lidí to ale považuje za problém.

O2 dělá něco, co nemá, protože to protokol umožňuje. Unášet HTTPS se O2 nepokouší, protože vědí, že to nejde.

třeba jen dělali změnu/aktualizaci FW/SW a vlítla jim tam chyba. Nejspíš do toho nezasahují, když nemají nějakou marketingovou akci, ale těžko to budou zapínat přepnutím kabelů, ale nějakým SW přepínačem, ten se jim teď asi rozbil.

Nebo třeba to mají zapnuté pořád a filtrují přes to provoz kvůli malwaru a virům, kdo ví. Pokud už někdo nějakou technologii má a má jí vyzkoušenou, prostě předpokládám, že jí používá.

co to je za ten protokol "který už nikdo podstatný nepoužívá"?

S PROTOKOLEM zadny problem nebyl. Problem byl s tim, ze O2 dela neco, co nema. Kdyby O2 sahalo do TLS handshaku,tak budete psat, ze je problem s https?