Wie in Kommentaren und Antworten ausgeführt, gibt es viele legitime Gründe, warum Sie dem Trust Store Ihres Browsers eine Zertifizierungsstelle hinzufügen möchten, und die Mechanismen hierfür erfordern Administratorzugriff auf den Computer / Browser.

Sie implizieren ein Vertrauensmodell, bei dem Sie Ihren Administrator (oder Ihre Vergangenheit) nicht als vertrauenswürdig betrachten und der Browser visuell zwischen einem Zertifikat unterscheiden soll, das öffentlich vertrauenswürdig ist (dh von einer Zertifizierungsstelle in Mozilla ausgestellt wurde) öffentlich vertrauenswürdige Liste) und eine Liste, die privat vertrauenswürdig ist, da sie explizit zum Vertrauensspeicher des Browsers hinzugefügt wurde. Vielleicht das übliche Grün mit einem Warnsymbol für privat vertrauenswürdig?

Gute Idee! Es würde auch mein Problem lösen, zwei Kopien von Firefox zu installieren: eine zum Testen von Produkten, bei denen ich Zertifikate installieren muss, und eine zum Surfen im Internet. Sie sollten sehen, ob Firefox bereits eine Verbesserung dafür hat, und wenn nicht, schlagen Sie es vor :)

Sie möchten, dass der Browser den Benutzer gegen "Angriffe" des lokalen Administrators verteidigt.

In einem solchen Szenario ist eine Verteidigung nicht möglich. Der "böswillige" Administrator kann Ihren legitimen Firefox jederzeit durch einen Betrüger ersetzen, den er mit seinen eigenen Zertifizierungsstellen erstellt hat und der ein grünes Vorhängeschloss anzeigt. Wenn Sie bei der Arbeit sind und die Maschine einer anderen Person (in diesem Fall der Firma) verwenden, sind Sie zu 100% dem Maschinenbesitzer ausgeliefert. Wenn das Unternehmen Sie verdeckt beschnüffeln wollte, kann es jederzeit Keylogger installieren und Ihre Passwörter anzeigen, bevor es überhaupt einen sicheren Browser erreicht.

Das grüne Kästchen zeigt nicht die Sicherheit vor lokaler Bedrohung an, sondern die Sicherheit vor Fernbedienungen schnüffeln. In diesem Fall wird eine sichere Verbindung zu Ihrem TSL-Inspektor angezeigt. Es zeigt an, dass Ihre Mitarbeiter im selben LAN Ihre Passwörter nicht abhören können, daher das grüne Symbol. Was passiert, nachdem der Inspektor in der Verantwortung Ihres Netzwerkadministrators liegt und der Browser nicht erkennen kann, ob er tatsächlich HTTPs verwendet.

Als Benutzer können Sie das Zertifikat anzeigen und seinen Zertifizierungspfad überprüfen. Ihr Browser kann nicht entscheiden, ob das von DigiNotar ausgestellte Zertifikat "besser" ist als das von EvilCorp ausgestellte Zertifikat (das möglicherweise Ihr Arbeitgeber ist). Zertifikate werden ständig geändert und auch die Zertifizierungsstellen werden geändert. Der Browser kann nicht entscheiden, ob eine Zertifizierungsstelle vertrauenswürdiger ist als die andere. Nur Sie können entscheiden, wer der Emittent ist und ob Sie ihm vertrauen können - und mit welchen Informationen. Sie sollten die Maschine nur für arbeitsbezogene Aktivitäten verwenden. Technisch gesehen tun Sie also nichts, was EvilCorp nicht sehen soll.

1. Weil sich die offizielle Liste im Laufe der Zeit ändert.
2. Weil Unternehmen ein legitimes Bedürfnis haben, "interne" Zertifizierungsstellen einzuschließen.
3. Weil Unternehmen ein legitimes Interesse daran haben, in der Lage zu sein an Man-in-the-Middle für Sicherheits-, Compliance- oder HR-Zwecke.
4. Da Entwickler und Tester ein legitimes Bedürfnis nach Man-in-the-Middle haben.

Möchten Sie heute lieber StartCom vertrauen? Das ist es, was Sie mit nicht trivialen Änderungen erhalten würden.

Einer der Hauptgründe für die Berücksichtigung einer benutzerdefinierten Stammzertifizierungsstelle ist der Webentwickler. Entwickler und Testbuild verwenden sehr oft ein internes Zertifikat (hauptsächlich aus Kosten- und Erstellungsgründen). Wenn Sie nicht zulassen, dass Sie Ihre Stammzertifizierungsstelle hinzufügen, führt dies zu (mehr) unterschiedlichen Zuständen zwischen Ihrer Entwicklungs- / Build-Instanz und der Produktionsinstanz, die zu schwer zu behebenden Fehlern führen können.

Auch Unternehmens-Proxy als Unternehmen (in den meisten Gesetzen) Verantwortlich für das, was Sie mit dem Internet tun, verwenden sie häufig Menschen in der Mitte, was zwar ethisch zweifelhaft ist, aber meistens legal ist und erwartet wird.

Ein weiterer Grund, die Stammzertifizierungsstelle nicht fest zu codieren, besteht darin, dies zuzulassen Sie müssen diejenige entfernen, der Sie nicht mehr vertrauen (möglicherweise stehen sie unter der Kontrolle einer Regierung, der Sie nicht vertrauen, möglicherweise haben sie kürzlich einen Schlüssel durchgesickert usw.), unabhängig von der Berücksichtigung Ihres Browsers.

Das Hinzufügen neuer Stammzertifikate erfordert im Allgemeinen den Zugriff auf Administrator- oder Stammebene. Sie können daher nicht ohne die Zustimmung des Besitzers des Computers installiert werden (es sei denn, ein Exploit wird verwendet).

Das Problem scheint zu sein, dass Sie ein Missverständnis darüber haben, wem der Computer gehört. Wenn der Computer von Ihrem Arbeitgeber ausgestellt wurde und dieser über Root-Zugriff verfügt, handelt es sich nicht um "Ihren" Computer. Es gehört ihnen und sie lassen dich es benutzen. Sie sollten mit diesem System keine Erwartungen an den Datenschutz haben. Wahrscheinlich hat dies in Ihrer Mitarbeitervereinbarung etwas in diesem Sinne gesagt. (Die Details hierzu können abhängig von Ihren örtlichen Gesetzen variieren.)

Es gibt wirklich keinen guten Grund für Browser, dies zuzulassen, und sie sollten es nicht zulassen. Lassen Sie mich nacheinander auf die fehlerhaften Begründungen eingehen:

1. Webentwicklung. Sie benötigen keine Stammzertifizierungsstelle , um Zertifikate nur für eine einzelne Domäne oder eine kleine endliche Gruppe von Domänen zu signieren, für die Sie die Entwicklung durchführen. Stattdessen könnte der Browser das Hinzufügen von CA-Zertifikaten zulassen, die nur für die bestimmten Domänen gültig sind, und Sie in der URL-Leiste warnen, wenn ein solches Zertifikat verwendet wird, anstatt das Hinzufügen von CA-Zertifikaten zuzulassen, die für beliebige Signaturen signieren können Domänen.

2. Enterprise und AV MITM. Dies sind nur schlechte Ideen aus Gründen, die an anderer Stelle diskutiert werden. Implementieren Sie AV auf Endpunkten, nicht über MITM. Die Asset-Kontrolle über MITM funktioniert nur gegen wirklich naive Benutzer. Wenn Sie Daten haben, die so sensibel sind, dass Sie glauben, dass Sie eine Asset-Kontrolle über MITM benötigen, benötigen Sie wahrscheinlich Systeme mit Luftspalt ohne Internetzugang.

3. "Wenn der Browser dies nicht zugelassen hat, Administratoren, die Stammzertifizierungsstellen hinzufügen möchten, ändern lediglich den Browser. " Ja, das ist immer technisch möglich, aber Browser-Anbieter haben die Möglichkeit, dies rechtlich schwierig oder unmöglich zu machen, indem sie einfach die Verwendung der Browsermarke darauf beschränken, die CA Trust UX nicht zu manipulieren. Ich habe mich schon lange dafür eingesetzt. Wenn Browser dies tun würden, würden Benutzer wissen, sobald sie "Firefox" oder "Chrome" auf einem System sehen, auf dem sie sich hinsetzen, dass es keine betrügerischen Zertifikate akzeptieren wird, wenn jemand sie MITM lässt, solange sie dem vertrauen Die Partei, die das System eingerichtet hat, ist gesetzestreu. Dies ist eine ziemlich vernünftige Annahme in Kontexten wie Arbeitsplätzen, Schulen, Bibliotheken usw. und kann getestet werden. Wenn also jemand gegen die Regeln verstößt, ist es einfach, sie zu umgehen und den Browser-Anbieter rechtliche Schritte einleiten zu lassen.

ol>

Wenn Ihr Computer Teil eines Unternehmensnetzwerks ist, ist es sinnvoll, benutzerdefinierte Stammzertifizierungsstellen für interne Websites hinzuzufügen, die HTTPS oder verschiedene Update-Pakete oder interne Apps verwenden, die Sie an Ihre Kunden senden / =.