Antivirussoftware: Mozilla bringt Firefox-Import von Windows-Root-Zertifikaten
Browserhersteller Mozilla hat in seinem Security-Blog(öffnet im neuen Fenster) eine Lösung für die Probleme mit Antivirenprogrammen vorgestellt. Wie bereits seit einigen Monaten getestet , soll Firefox bei Man-in-The-Middle-Fehlern künftig zunächst die Windows-Root-Zertifikate importieren und dann einen erneuten Verbindungsaufbau probieren. Umgesetzt werden soll das mit Firefox-Version 68, die kommende Woche erscheinen soll.
Die Probleme mit den Antivirenprogrammen gingen so weit, dass Mozilla Anfang dieses Jahres die Verteilung des Updates auf Firefox 65 zwischenzeitlich stoppen musste . Zum Untersuchen von HTTPS-Verbindungen nutzen einige Antivirenprogramme eigene Zertifikate, die Mozilla von Haus aus eigentlich nicht akzeptiert.
Die Programme führen damit Man-in-the-Middle-Angriffe durch und analysieren so den Netzwerkverkehr, bevor dieser den Browser erreicht. Bei Nutzern führte der Aufruf von Webseiten über eine HTTPS-Verbindung dann aber zu der Fehlermeldung "SEC_ERROR_UNKNOWN_ISSUER" und die Verbindung wurde von dem Browser als nicht sicher markiert.
Zertifikate vom Betriebssystem
Damit die Verbindung unter solchen Umständen doch noch aufgebaut werden kann, haben die Firefox-Macher einen Mechanismus entwickelt, um derartige Man-in-the-Middle-Angriffe zu erkennen. Wie erwähnt, sollen dann die Root-Zertifikate des Betriebssystems importiert werden, die Nutzer, Admins oder Programme auf dem eigenen Rechner zum Root-Store hinzugefügt haben.
Sollte dies erfolgreich sein, bleibt die Nutzung dieser Zertifikate dauerhaft aktiviert. Nutzer können das Verhalten über die Option security.enterprise_roots.enabled in about:config regeln. Das steht standardmäßig unter Windows und MacOS bereit. Darüber hinaus soll diese Option im Extended-Support-Release (ESR) von Firefox 68 standardmäßig aktiviert werden.
Nutzer sollen künftig mit Hilfe eines kleinen Symbols darüber informiert werden, dass eine Webseite ein importiertes Root-Zertifikat verwendet. Dies erreichen Nutzer durch einen Klick auf das Schloss-Symbol für die verschlüsselte Verbindung.