Intercetta il traffico HTTPS .. con un certificato

Sta facendo esattamente come è stato progettato per fare. Facebook Cert è progettato per consentire connessioni attendibili solo ai nomi di dominio per Facebook. Il tuo Cert personale è progettato solo per funzionare per quel dominio personale. Solo perché hai un certificato valido non ti permetti di spoofare qualsiasi dominio che desideri.

Il tuo browser ti sta dando correttamente un errore di certificato non valido, perché hai indirizzato il tuo browser su facebook.com, ma il CN del certificato che il browser vede è xyz.com. I due non corrispondono, quindi il browser mostra un errore del certificato, come dovrebbe.

Se così non fosse, allora chiunque potrebbe MITM qualsiasi sito utilizzando qualsiasi certificato, se sono in grado di intercettare la connessione tra il browser e il server (come si fa con Charles).

Come le altre risposte dicono, il certificato di Verisign funzionerà solo per il tuo dominio.

Charles può generare un certificato di root che sarà poi esportato e inserito nel browser. ( Help --> SSL Proxying --> Install Charles Root Certificate ) Ogni installazione di Charles crea un certificato univoco, ma è necessario fare attenzione a mantenerlo segreto.

Il proxy di Burp è uno strumento simile a Charles e io lo uso per fare la stessa cosa. A differenza del certificato di Verisign, questo certificato di root consentirà il proxy di tutti gli https senza alcun avviso di certificato.

Vedi link

Nota che non decifrierai realmente il traffico con Charles ma lo intercetti prima che venga decifrato mentre esce dal tuo sistema. Con questo certificato radice non lo si usa per decodificare ma per verificare l'identità del server remoto (o, in realtà, disabilitare la capacità del browser di provare a convalidare il server remoto. Se si installa questo e, mentre si esegue il proxy attraverso Charles, andare a un sito mascherato da facebook, sarai ingannato perché il tuo browser non può avvisarti che non è il vero facebook.