Estoy trabajando en la red de un cliente donde han habilitado la autorización de HTTPS en su proxy. Esto les permite realizar un ataque de hombre en medio para descifrar todo el tráfico cifrado saliente.
Cuando me conecto a un sitio HTTPS, mi navegador obtiene un certificado para el sitio que ha sido firmado por el proxy de la empresa, no el certificado real. Chrome e Internet Explorer dicen que el sitio web está protegido (todo está en verde, no hay advertencias), pero Firefox dice que no lo está. Sé que, dado que el proxy SSL está en su lugar, no lo está.
Supongo que Chrome e IE aceptan el certificado falsificado porque el GPO implementa el certificado del proxy. Entonces, cuando el proxy envía un certificado falsificado (firmado por sí mismo) para un sitio web, Chrome e IE lo muestran como válido.
¿Cómo se puede esperar que alguien navegue de forma segura en este entorno? Con todos los certificados firmados por el proxy, ¿cómo puedo validar que el sitio web no está siendo falsificado por otro tercero? Me preocupa que pueda llegar un momento en que Firefox también esté configurado para ignorar estos certificados falsificados. ¿Cómo puedo evitar que mis navegadores (Firefox, et al.) Acepten estos certificados?
¿Por qué los navegadores permiten esta función? Parece casi más sensato deshabilitar por completo el HTTPS que permitir una sensación de seguridad tan falsa como esta. ¿No es este un problema de seguridad importante, que el navegador acepte certificados aparentemente legítimos aunque no sean los proporcionados por los sitios web?