In che modo gli utenti finali possono rilevare tentativi malevoli di spoofing SSL quando la rete dispone già di un proxy SSL autorizzato?

Potresti essere interessato a Certificate Patrol:

link

Tiene traccia dei certificati che hai visto prima e ti avvisa se sono stati modificati prematuramente. Ovviamente, potresti anche non installare il certificato di root dell'azienda in primo luogo.

How can someone be expected to browse securely in this environment?

Non puoi davvero. Se c'è un proxy MITM ufficiale e non è la tua rete, non fare nulla che non vuoi che gli amministratori di rete siano in grado di vedere. Usa la tua connessione personale per connetterti a siti con account personali.

With all certificates being signed by the proxy, how can I validate that the website isn't additionally being spoofed by some other third-party?

Penso sia giusto presumere che il proxy stesso, quando effettua la connessione al sito Web effettivo, controlli la validità del certificato rispetto a un elenco di CA con cui è stato configurato (probabilmente quello del sistema operativo su cui è in esecuzione) .

I'm worried that there might come a time where Firefox is also configured to ignore these spoofed certificates. How can I prevent my browsers (Firefox, et. al.) from accepting these certificates?

La tendenza è sempre stata quella di aumentare la consapevolezza sui certificati non validi in Firefox.

In Firefox, puoi disabilitare certe CA andando in Opzioni - > Avanzate: > Crittografia - > Visualizza certificati - > Autorità. Quindi, usa "Modifica fiducia" (o elimina un certificato CA). È probabile che tu trovi il certificato CA installato all'interno di questa istituzione. Puoi anche controllare le eccezioni nella scheda "Server", se ce ne sono.

Why do browsers allow this function? It would seem almost more sensible to completely disable HTTPS than to allow such a false sense of security as this. Is this not a major security issue - that the browser accepts seemingly-legitimate certificates even though they are not the ones provided by the websites?

Stai fraintendendo la responsabilità di garantire la fiducia. I browser sono lì solo per usare una lista di ancore fidate. Anche se spesso vengono con un elenco predefinito, è compito dell'amministratore della macchina (e / o dell'utente) controllare l'elenco delle CA che vogliono fidarsi. (C'è una leggera eccezione a questo con certificati EV , anche se non è privo di una serie di problemi.)

Se hai dei dubbi su quale CA è in uso, fai clic sull'icona del lucchetto o sulla barra blu / verde (a seconda del browser), dovresti essere in grado di vedere i dettagli di sicurezza. Confrontalo con quello che vedi usando una macchina di cui ti fidi su una rete di cui ti fidi.

Se non ti fidi di quali certificati CA sono installati sulla macchina, non usarla. Più in generale, questo si riduce a questo: non usare una macchina di cui non ti fidi.

How can someone be expected to browse securely in this environment?

È possibile creare una connessione sicura all'esterno, come una VPN. Quindi fai il tunnel di tutte le tue richieste attraverso questa connessione sicura. Il problema è che il proxy potrebbe anche capire il protocollo VPN e intercettare anche questo. È possibile rilevare un proxy VPN se si confronta il certificato VPN con una versione nota. Se vieni intercettato sulla VPN dovrai trovare un altro protocollo che il proxy consente di passare e non intercetta.

With all certificates being signed by the proxy, how can I validate that the website isn't additionally being spoofed by some other third-party?

Non puoi. Fai affidamento sul proxy per stabilire la connessione. Può o meno farlo in modo sicuro, ma in entrambi i casi non hai controllo.

I'm worried that there might come a time where Firefox is also configured to ignore these spoofed certificates. How can I prevent my browsers (Firefox, et. al.) from accepting these certificates?

Nella mia esperienza, Firefox offre all'utente un maggiore controllo mantenendo il proprio archivio certificati. IE / Edge e Chrome utilizzano entrambi l'archivio certificati di Windows integrato. Ovviamente, un amministratore potrebbe cambiare l'archivio di Firefox, quindi dipende solo da ciò che fanno i tuoi amministratori.

Why do browsers allow this function?

A volte si desidera configurare un server affidabile senza tutta la documentazione necessaria per ottenere un certificato firmato da una CA pubblica o per eseguire attività di sviluppo o test. In questi casi è necessario avere il controllo su esattamente quali certificati e CA si fidano.

It would seem almost more sensible to completely disable HTTPS than to allow such a false sense of security as this. Is this not a major security issue - that the browser accepts seemingly-legitimate certificates even though they are not the ones provided by the websites?

Questo è più un problema con i tuoi amministratori che controllano la tua sicurezza di un problema con il browser. Pensaci in questo modo: non stai eseguendo Firefox, stai eseguendo un programma browser fornito dai tuoi amministratori che fa ciò che vogliono che faccia.