Как Мегафон кормит клиентов рекламой за их же деньги⁠⁠

редиректа кого и куда? Т.е. я меняю настройки подключения в ОС, а вы мне в ответ шлете http 302?

Подмена DNS не поможет. Нужна подмена корневого сертификата (ну или конкретного сертификата сайта — но откуда его взять, он только у владельцев сайта). Если заходите в первый раз, и корневой сертифкат подменён, то никак не проверить, да. Собственно смысл корневого сертификата как раз в том, что он удостверяет, что сертификат на конкретное имя, выданный конкретному сайту, является подлинным.

Подмена DNS не страшна для https, потому что сертификата, выписаного на атакуемый сайт у атакующего все равно не будет. Просто браузер напишет, что тут творится какой-то беспредел, и настоятельно предложит не ходить дальше.

HSTS нужен в основном потому, что человек переходя по ссылке/вбивая адрес вручную может попасть на http-версию сайта - а там подмена DNS может выстрелить. А если его браузер уже видел HSTS для этого домена - то пойдет сразу на https.

Ну не сможете вы никак показать рекламу в https) Тут надо или модифицировать трафик или делать редирект, что по сути одно и то же (модификация - это изменение ответа 200 ОК, а редирект это 301-302 ответы, которые тоже должны быть зашифрованы). Так что чаще всего тупо режется соединение. Вставить рекламу можно подменив серт, ввиду чего браузер или не загрузит вовсе или будет страшно ругаться на мошенников. Такие дела)

Точно, только ресет, запамятовал.

SSL не только шифрует содержание, но и, блять, авторизует адрес хоста — убеждается, что ответил именно тот сервак, который указан в URL — пойми ты уже наконец этот простой тезис :)

Да не все так просто, реклама для хостов с ssl не будет работать прозрачно, в любом случае будут ругачки на подмену сертификата. Просто назовите мне рабочую схему и какое оборудование для нее используется. Даже самый крутой dpi не сможет прозрачно подсунуть что-то в https.