Firefox beginnt, Stammzertifikate aus Windows zu importieren.

Zertifikatspeicher von Firefox

Mit der Veröffentlichung von Mozilla Firefox 65 im Februar 2019 haben einige Nutzer beim Zugang zu HTTPS-Webseiten Fehlermeldungen bemerkt wie „Ihre Verbindung ist nicht sicher“ oder „SEC_ERROR_UNKNOWN_ISSUER“. Der Grund lag in Antivirenprogrammen wie Avast, Bitdefender und Kaspersky, die zur MiTM-Integration in den HTTPS-Datenverkehr des Nutzers eigene Root-Zertifikate auf dem Computer installieren. Da Firefox jedoch ein eigenes Zertifikatspeicher hat, versuchen sie ebenfalls, sich darin zu integrieren.

Browserentwickler fordern seit langem die Nutzer auf, auf die Installation von Drittanbieter-Antivirenprogrammen zu verzichten, die die Funktionalität von Browsern und anderen Programmen beeinträchtigen. Leider hört die breite Öffentlichkeit jedoch bislang nicht auf diese Appelle. Viele Antivirenprogramme verringern bedauerlicherweise die Qualität des kryptografischen Schutzes auf den Client-Computern, während sie als transparente Proxys arbeiten. Zu diesem Zweck werden Werkzeuge zur Erkennung von HTTPS-Abfangungen, die auf der Serverseite erkennen, ob es sich um ein MiTM, wie etwa ein Antivirenprogramm, im Kanal zwischen Client und Server handelt, entwickelt.

Wie auch immer, in diesem Fall haben die Antivirenprogramme erneut die Funktionsweise des Browsers gestört, und Firefox hatte keine andere Wahl, als das Problem selbst zu lösen. In den Einstellungen des Browsers gibt es eine Option security.enterprise_roots.enabled. Wenn dieses Flag aktiviert wird, beginnt Firefox, das Windows-Zertifikatspeicher für die Validierung von SSL-Verbindungen zu verwenden. Wenn bei jemandem beim Besuch von HTTPS-Webseiten die oben genannten Fehler auftreten, kann man entweder die SSL-Scan-Funktion im Antivirenprogramm deaktivieren oder dieses Flag manuell in den Browsereinstellungen setzen.

Das Problem wird im Bug-Tracker von Mozilla diskutiert. Die Entwickler haben beschlossen, das Flag experimentell security.enterprise_roots.enabled standardmäßig zu aktivieren, damit der Windows-Zertifikatspeicher ohne zusätzliche Maßnahmen des Benutzers verwendet wird. Dies wird ab Version Firefox 66 auf Windows 8 und Windows 10 geschehen, auf denen Drittanbieter-Antivirenprogramme installiert sind (das Vorhandensein eines Antivirenprogramms im System kann über die API nur ab Windows 8 bestimmt werden).

Quelle: habr.com