¿Se puede falsificar un certificado en el nivel del navegador? Lo que significa que hago clic en BLOQUEAR la imagen en mi barra de url y muestra un certificado válido de VeriSign pero de alguna manera el atacante falsificó esa información. No estoy seguro de cómo podrían hacerlo y eso es lo que estoy preguntando específicamente. ¿Podrían usar ECMAScript? ¿Podrían escribir una extensión de navegador o un complemento en C que de alguna manera podría actualizar esa información?
Bueno, si modifica el navegador, básicamente ha modificado el sistema operativo del usuario. En ese caso, también puede instalar directamente un registrador de teclas o un capturador de contraseñas.
La función de ese símbolo de bloqueo en los navegadores no modificados es, por supuesto, demostrar la seguridad criptográfica de un sitio, por lo que, obviamente, no es posible interactuar con él desde un sitio web que no sea proporcionar un certificado válido que coincida con una CA. Fideicomisos del navegador. Eso es, por supuesto, los errores y las puertas traseras a un lado, pero, francamente, no creo que encuentre un agujero de seguridad flagrante en los navegadores modernos que le permita falsificar ese símbolo.
Técnicamente - sí, podrían. Sin embargo, hay algunos pensamientos:
1) el código de la página web no puede interactuar con la barra de direcciones del navegador.
2) un atacante puede escribir un complemento / extensión si el navegador web proporciona interfaces para tales interacciones.
2.1) un atacante puede falsificar los módulos binarios del navegador para cambiar el comportamiento del navegador. Sin embargo, esto requerirá conocimientos de código fuente y la capacidad de sobrescribir binarios.
En realidad es muy y muy poco probable. Este vector de ataque asume que el atacante ya obtuvo acceso a tu computadora. En este caso, no necesita realizar manipulaciones tan complejas, es más fácil insertar un certificado raíz fraudulento en el almacén de confianza y usarlo para engañar a los usuarios.
Lea otras preguntas en las etiquetas web-browser certificate-authority non-repudiation scep