Как настроить HTTPS — поможет SSL Configuration Generator / Хабр

Что даёт расширенная проверка

считает ошибкой решение убрать EV из адресной строки. Организация, которая объединяет ряд ведущих центров сертификации,

1. Только сертификат EV может подтвердить принадлежность сайта определённой компании. Невозможно обеспечить защиту конфиденциальных данных пользователя, если мы не знаем, какая компания владеет доменом.

2. Защита от фишинга. Исследования показывают, что злоумышленники активно пользуются сертификатами DV, заказывая их тысячами бесплатно через автоматизированную анонимную процедуру.

Вступление

В отличии от большинства браузеров (Chrome, Opera, Yandex Browser и т. д.), Firefox не использует корневые сертификаты, которые хранятся в хранилище Windows. Вместо этого, данный браузер использует их из своего собственного хранилища (чем между прочим очень сильно гордятся).

Однако, в Firefox можно настроить использование сертификатов из хранилища сертификатов операционной системы Windows. Сделать это можно двумя путями, и ниже будет рассказано о каждом из них.

Почему браузеры убрали индикатор ev ssl

Главная причина — желание разработчиков оптимизировать интерфейс браузера, поскольку длинная адресная строка не помещается на экраны мобильных устройств. Однако они не могли жертвовать безопасностью ради удобства. Компания Google инициировала специальное исследование, на основании которого сделала вывод, что отказ от EV всё-таки

не

снижает безопасность. Это исследование зажгло зелёный свет перед изменением UI, которого требовали разработчики интерфейсов для удобства пользователей.

Речь об исследовании, проведённом специалистами по дизайну интерфейсов и безопасности Google (группа Chrome Security UX). Они пришли к выводу, что «EV UI не обеспечивает защиту пользователей должным образом».

Что он собой представляет

В Mozilla предлагают три рекомендуемые конфигурации для серверов, использующих TLS:

Например, в первом случае генератор использует алгоритм шифрования

, алгоритм хеширования

и режим работы симметричных блочных шифров

. Вот пример шифронабора: TLS_AES_256_GCM_SHA384.

Во втором случае число используемых шифров гораздо больше, поскольку многие из них исключили из TLS 1.3 для повышения безопасности. Плюс в шифронаборе TLS 1.3 не описывается тип сертификата и механизм обмена ключами. Поэтому в промежуточной конфигурации имеются протокол Диффи — Хеллмана с эфемерными ключами и RSA.

С учетом этих требований SSL Configuration Generator строит конфигурационный файл (OpenSSL). При построении можно выбрать необходимое серверное программное обеспечение: Apache, HAProxy, MySQL, nginx, PostgreSQL и еще пять других. Вот пример современной конфигурации для Apache:

Почему сайт не проходит проверку

Причин, по которым сайт не может пройти проверку, может быть великое множество. От отсутствия сертификата, до размещения ссылок на сомнительные интернет-ресурсы. Обычно он выдается тем ресурсам, которые соответствуют ряду параметров — не размещают непроверенные файлы, не имеют подозрительных запросов, не просят прохождения аутентификации по неясным причинам и т.д.

Еще одной причиной для блокировки веб-сайта может выступить антивирус. Если изначально установить неправильные настройки, или если в самой программе по умолчанию данный сертификат будет считаться ненадежным, то он заблокирует работу сайта. В таком случае необходимо подкорректировать настройки антивируса.

И, наконец, последняя причина, по которой сайт может отображаться как вредоносный — это когда центр сертификации отзывает текущий сертификат. В таком случае — это проблема со стороны веб-ресурса, и вы, как пользователь ничего не можете с этим поделать, разве что, отключить проверку его на текущем сайте.

Есть ли способ заставить firefox игнорировать недействительные ssl-сертификаты?

Использование файла js

Конечно выше описанный способ является достаточно простым, за исключением того, что его довольно неудобно применять на компьютерах в какой-либо администрируемой корпоративной сети. Тем не менее, решение есть – распространить через групповые политики файл .js, в котором будет прописана нужная настройка.

Браузер Firefox, при своем запуске, проверяет наличие файлов js по адресу директория установки Firefoxdefaultspref, и если их обнаруживает, то подгружает прописанные в них настройки. Так что достаточно лишь создать файл wincerts.js, и вписать в него следующее:

pref("security.enterprise_roots.enabled", true);

и сохранить по адресу директория установки Firefoxdefaultspref. Теперь остается лишь перезапустить браузер, и он будет по умолчанию подхватывать корневые сертификаты Windows.

Какие еще утилиты помогут с защитой сайтов

В портфолио Mozilla есть несколько утилит, которые помогут проверить надежность ресурса после конфигурирования SSL.

Первая — это Mozilla Observatory. Изначально компания разрабатывала инструмент для проверки защищенности своих собственных доменов. Теперь он доступен всем вместе с исходным кодом. Observatory сканирует сайты на самые популярные уязвимости, среди них: потенциально опасные cookies, XSS-уязвимости и редиректы. После сканирования системы выдает набор рекомендаций для повышения безопасности интернет-ресурса.

Фото — sebastiaan stam — Unsplash

Еще одна полезный инструмент — Firefox Monitor. Она отслеживает последние утечки данных и посылает уведомления, если информация с какого-либо сайта попала в руки хакеров. Таким образом, администраторы получают возможность оперативно принять меры, минимизировать ущерб и сделать так, чтобы история не повторилась в будущем.

^{Наши публикации из блогов и социальных сетей:}

Как защитить виртуальный сервер в интернете
Зачем нужен мониторинг?
Получение OV и EV сертификата — что нужно знать?

Mobile-first индексация с первого июля — как проверить свой сайт?
F.A.Q. по частному облаку от 1cloud

Как оценить производительность СХД на Linux: бенчмаркинг с помощью открытых инструментов
Есть мнение: технология DANE для браузеров провалилась

Отключаем проверку для фаерфокс

При острой необходимости можно отключить проверку сертификатов на одном определенном сайте или группе, для этого необходимо сделать следующее:

1. Открыть “Настройки”.
2. Перейти в раздел “Приватность и защита”.
3. Найти вкладку “Сертификаты”.
4. После чего найти кнопку “Просмотр сертификатов”, кликнуть по ней.
5. В разделе “Серверы” перейти во вкладку “Добавить исключение”.
6. Добавить все веб-сайты, которые необходимо исключить из проверки.

Таким образом вы сможете обеспечить постоянный доступ к любым ресурсам, однако, рекомендуем пользоваться данными методами со всей осторожностью и предусмотрительностью.

Редактирование настроек

Данный способ работает только в операционных системах семейства Windows!

Самый простой способ, это использовать редактор настроек Firefox. Попасть в него можно просто набрав в адресной строке в качестве адреса about:config. Теперь остается лишь найти параметр под названием security.enterprise_roots.enabled (используйте поиск в верхней части!), и установить его значение в true.

Установка корневого сертификата в браузере mozilla firefox – webmoney wiki