Il mio datore di lavoro ha impostato ciò che chiamano "decrittazione SSL" per l'accesso a Internet dall'interno dell'azienda. Credo che questo sia fornito da un dispositivo f5. Hanno installato un certificato radice attendibile su tutti i dispositivi aziendali e lo stanno utilizzando per terminare gli https in uscita, creando la propria connessione https al server esterno, intercettando tutti i dati in testo semplice e ricodificandolo utilizzando un certificato falso firmato dalla loro sostituzione certificato di root. Quindi, tutto sommato.
Posso vedere che questa intercettazione sta avvenendo visualizzando il percorso di certificazione nel mio browser, ottengo qualcosa del tipo:
+- Acme Corporation Root CA
|
+--+- *
|
+--+- www.letsencrypt.org
Quanto sopra è vero sia per Internet Explorer 11 sia per Chrome 65. Tuttavia, quando provo Firefox 59 vedo il seguente percorso di certificazione:
+- DST Root CA X3
|
+--+- Let's Encrypt Authority X3
|
+--+- www.letsencrypt.org
Quello che capisco da questo è che la connessione di Firefox ha non stato intercettato e decodificato. (Se ho raggiunto la conclusione sbagliata qui, sarebbe utile saperlo.)
Firefox fornisce sotto Dettagli tecnici le seguenti informazioni:
Connection Encrypted (TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, 256 bit keys, TLS 1.2)
Non riesco a trovare un modo per vedere quale versione di TLS è utilizzata da IE e Chrome.
Firefox non mostra alcun certificato radice aziendale installato nel suo elenco di certificati affidabili (poiché non utilizza l'archivio certificati di Windows). Inoltre, l'opzione security.enterprise_roots.enabled è false .
La mia domanda è, perché e come si evita Firefox? Firefox mi sta mentendo e la connessione in realtà viene intercettata in qualche modo? Sta utilizzando una versione diversa di TLS o di una suite di crittografia diversa che il dispositivo f5 non è in grado di gestire?
Si noti che ho letto In che modo gli utenti finali possono rilevare tentativi malevoli di spoofing SSL quando la rete dispone già di un proxy SSL autorizzato? che descrive una situazione simile ma non è davvero illuminante. Ho anche visto l'addon Certificate Patrol ma che non è compatibile con Firefox Quantum . (C'è una sostituzione che funziona con Firefox moderno?)