Captive portal — что это и как работает вход в публичный Wi-Fi

Определение

Captive portal, в России чаще «портал авторизации Wi-Fi», — страница, которая открывается после подключения к публичной сети. Пока вы не выполните условия, доступ в интернет закрыт: нужно принять соглашение, ввести код из SMS, войти через Госуслуги или просто нажать «Подключиться».

Формальное определение даёт RFC 8952: это сеть, которая ограничивает подключённые устройства доступом к узкому кругу узлов, пока пользователь не выполнит условия портала. После этого доступ расширяется, как правило, до всего интернета.

Как работает

1. Телефон подключается к сети, но шлюз пропускает трафик только к порталу и сервису авторизации.
2. Система устройства определяет, что сеть требует входа, и открывает страницу портала.
3. Вы выполняете условия: принимаете правила, вводите номер телефона и код.
4. Шлюз запоминает устройство на время сессии и открывает доступ в интернет.

Современные сети сообщают устройству адрес портала через DHCP или Router Advertisements (RFC 8910, сентябрь 2020), а обмен с порталом описывает Captive Portal API (RFC 8908). Старый способ — перехват запросов с перенаправлением — RFC 8910 сравнивает с MITM-атакой: с ростом доли шифрования он работает всё хуже.

Идентификация пользователей публичного Wi-Fi в России

В России портал — место, где на практике проходит идентификация пользователей публичного Wi-Fi. Требование появилось в 2014 году: постановление Правительства от 31.07.2014 № 758 ввело идентификацию пользователя и его оборудования при разовых услугах связи в пунктах коллективного доступа, а постановление от 12.08.2014 № 801 добавило способы — через Госуслуги или по номеру мобильного телефона абонента. Эти нормы позднее заменили новые правила. Сегодня порядок записан в Правилах оказания телематических услуг связи, утверждённых постановлением от 31.12.2021 № 2607 (в редакции от 30.09.2023, действуют до 14 января 2028 года), и в Правилах оказания услуг связи по передаче данных (постановление № 2606 от той же даты).

По пункту 21 Правил № 2607 оператор связи при срочном договоре на разовые услуги в пункте коллективного доступа идентифицирует пользователя и его оборудование. Пользователя устанавливают по ФИО, подтверждённым документом, либо через Госуслуги (единую систему идентификации) или по номеру мобильного телефона, который выдан этому пользователю по договору с оператором. Оборудование определяют по уникальному идентификатору оборудования сетей передачи данных; на практике это MAC-адрес. Вход через соцсеть ФИО достоверно не устанавливает, поэтому в этом перечне его нет.

Правила менялись не раз, поэтому перед запуском сети спросите оператора связи, как идентификация устроена по вашему договору, и сверьте действующую редакцию. Номер телефона и данные устройства — персональные данные, а значит, на их обработку распространяется 152-ФЗ.

Подмена портала

Поддельная точка доступа с тем же названием может показать свой «портал» и запросить телефон, пароль от Госуслуг или данные карты. RFC 8952 называет этот риск прямо: пользователь, доверяющий враждебной сети, может отдать учётные данные на вредоносной странице. Настоящему порталу хватает номера и кода. Пароль от Госуслуг вводят только на странице домена gosuslugi.ru, а карту не требуют вовсе.

Связь с QR-кодом Wi-Fi

QR с WIFI-строкой подключает телефон к сети, но портал гость всё равно проходит сам; подробности — в статье про QR-код для Wi-Fi. Формат строки разобран в терминах WiFi QR-format и WIFI URI. После входа портал может перенаправить на любой адрес: приветственную страницу или меню заведения. От геофенсинга портал отличается привязкой к сети, а не к координатам: он срабатывает лишь при подключении.

Частые вопросы