Problema de certificado SSL no Firefox, Ubuntu em uma rede do Windows por trás de um proxy

Question

Meu problema: Sites habilitados para SSL (HTTPS) não são processados corretamente no meu navegador Firefox. A equipe de rede no escritório diz que o problema é que o servidor proxy não consegue identificar meu sistema corretamente e, portanto, a troca de certificados no servidor proxy não está funcionando como deveria. Sites HTTPS, como sites bancários, são processados corretamente. Parece que esses sites são ignorados pelo proxy para impedir a criptografia das solicitações. A equipe de rede me forneceu um arquivo de certificado (.p12) para importar para o Firefox, mas isso não ajuda.

Esse problema ocorre apenas em sistemas Linux. Eu coloquei o nome de domínio correto no arquivo smb.conf, para ter meu sistema no domínio, mas isso não está me ajudando também.

Configuração: Eu estou em uma máquina Ubuntu 11.10 e uso o navegador Firefox 14. Eu estou em uma rede do Windows no escritório, por trás de um servidor proxy.

Qualquer informação ou lead será muito apreciada.

    

Answer 1

O fato de você obter um certificado diferente por trás desse proxy dentro dessa rede e sem esse proxy parece indicar que esse é um proxy de inspeção SSL (ou "proxy MITM").

Um servidor proxy como esse é capaz de examinar o tráfego SSL / TLS criptografado, representando o servidor de destino. Eles fazem isso gerando seu próprio certificado, substituindo o do servidor genuíno. Esse certificado é emitido por uma CA incorporada no servidor proxy (que pode gerar o certificado dinamicamente). Tais certificados são reconhecidos pelas estações de trabalho dentro da rede da empresa (ou similar, onde quer que o servidor proxy esteja instalado), porque essas máquinas foram configuradas para confiar no certificado CA do servidor proxy além (ou em vez de) da lista de certificados CA padrão. fornecido com o sistema operacional ou navegadores.

(Você pode ver isso como um "ataque MITM legítimo", que na verdade não é um ataque, já que a confiança nesse certificado de CA extra deve ter sido aprovada pelos criadores de políticas locais e configurada pelos administradores do sistema.)

É muito provável que a instalação nesse certificado de CA tenha sido feita por sua equipe sysadmin nas máquinas Windows, mas sua máquina Ubuntu pode ter sido deixada de fora (muito provavelmente, se você a tiver instalado). Não é sobre o servidor proxy não ser capaz de identificar seu sistema corretamente; em vez disso, é o seu sistema que não está configurado para confiar em seu servidor proxy.

Você precisará instalar esse certificado de CA em sua máquina e no seu navegador. Você poderia solicitar à sua equipe de rede esse certificado de autoridade de certificação ou exportá-lo em uma caixa do Windows: consulte o certificado do emissor de qualquer site visitado em uma máquina onde a conexão funciona (geralmente acessível com algo como "ver detalhes", dependendo do navegador que você está usando lá, exportá-lo (PEM / Base-64) e importá-lo em sua máquina Linux.

Você precisará importá-lo para o Firefox como uma autoridade confiável (Opções / Preferências - > Avançado - > Criptografia - > Exibir certificados - > Autoridades - > Importar ... e assinalar "trust this CA certificado "para identificar sites da Web). Outros aplicativos têm diferentes repositórios de certificados de CA: pode ser útil fazer uma cópia em /etc/ssl/certs/ também.

Naturalmente, o resultado é que quem estiver encarregado desse servidor proxy poderá ver o tráfego que você está trocando em qualquer site HTTPS que esteja usando a partir dessa rede, mas esse já é o caso de qualquer Windows máquina configurada dessa maneira, de qualquer maneira.