Pourquoi Firefox prétend-il que ma connexion à Google n'est pas sécurisée?
Je continue de recevoir ce message chaque fois que j'ouvre un site de Google:
Mon Firefox est à jour, donc mon Windows 8.1. Comme je ne connais pas grand-chose au HSTS, je ne sais pas ce qui se passe et, évidemment, je ne peux pas le chercher sur Google.
L'utilisation d'un VPN ne résout pas le problème. J'utilise Kaspersky Antivirus.
Kaspersky, comme la plupart des produits AV de nos jours, effectue un MITM local contre votre trafic HTTP sécurisé. Il le fait afin de pouvoir analyser les charges utiles dans les transactions HTTP, que ce soit dans la demande ou la réponse.
Pour que cela se fasse correctement, Kaspersky doit générer son propre certificat d'autorité de certification racine et générer des certificats usurpés à la volée, en les alimentant dans votre navigateur. Kaspersky doit également installer cette autorité de certification dans le magasin de certificats de confiance de votre système d'exploitation.
La raison pour laquelle il doit l'installer dans le magasin de certificats du système d'exploitation est que c'est là que la plupart des logiciels cherchent à valider que l'autorité de certification qui a émis le certificat qu'il a reçu est une autorité de confiance valide. Si cette autorité n'est pas là, boum, vous obtenez cette erreur.
FireFox est le seul navigateur Web grand public qui est paranoïaque. Il refuse de faire confiance au magasin de certificats de votre système d'exploitation, précisément parce qu'il est si facile d'y installer simplement une fausse autorité de certification et de démarrer les connexions des personnes MITM. À la place, FireFox est distribué avec une liste complète de toutes les autorités de certification approuvées par Mozilla.
Ce qui est mignon, c'est que cela n'ajoute en fait aucune sécurité. Vous pouvez simplement compiler le package open source Mozilla NSS et, y compris un utilitaire appelé CertUtil qui peut injecter de manière transparente des certificats, même des autorités de certification racine, dans le magasin de certificats de confiance de FireFox. Cela n'oblige pas l'utilisateur à l'accepter, ni même à alerter l'utilisateur que cela s'est produit. Vous pouvez voir à quel point c'est facile à faire dans une fonction C # que j'ai écrite ici .
Donc, ce qui se passe ici, c'est que Kaspersky n'utilise pas correctement FireFox, donc lorsque FireFox reçoit des certificats émis par l'autorité de certification de Kaspersky, il lance toutes les alarmes et vous crie que vous êtes attaqué.
J'ai eu le même problème. Tout site Web sur lequel je suis allé ne fonctionnerait pas. La date de l'ordinateur était éteinte et repoussée à 2006. J'ai changé la date du système en faisant un clic droit sur la date dans la barre d'outils en bas à droite des fenêtres. Après, Mozilla et Explorer ont très bien fonctionné.