Проблемы начались в декабре, когда Mozilla выпустила Firefox 65. После запуска этой версии в организации началось значительное увеличение количества ошибок TLS , которые часто вызываются взаимодействием программного обеспечения безопасности с Firefox.

Программное обеспечение безопасности во многих случаях должно проверять содержимое HTTPS-соединений, чтобы обнаруживать угрозы, и делает это путем установки собственных корневых сертификатов на устройстве.

В отличие от других веб-браузеров, которые полагаются на корневое хранилище операционной системы, чтобы определить, является ли сертификат доверенным, Firefox поддерживает свой собственный список доверенных центров сертификации (CA). Это означает, что разработчики решений для безопасности должны правильно настроить Firefox для своего программного обеспечения, чтобы иметь возможность анализировать зашифрованный трафик.

Firefox предназначен для предупреждения пользователей при обнаружении потенциальной атаки MitM, когда антивирусы все чаще запускают эти типы предупреждений, предотвращая доступ пользователей к веб-сайтам по HTTPS.

Эту проблему можно решить, включив в Firefox параметр «корпоративные корни», который заставляет браузер импортировать любые корневые CA, добавленные в ОС.

Mozilla заявила, что изначально планировала добавить кнопку «Исправить» на страницы ошибок MitM, чтобы пользователям было проще включить опцию «enterprise roots», но в конечном итоге решила добавить механизм, который автоматически включал бы опцию и перезагружал страницу всякий раз, когда обнаружена ошибка MitM.

Предпочтение останется включенным, если проблема устранена, если пользователь не отключил ее вручную. Mozilla также посоветовала производителям антивирусов включить это предпочтение самостоятельно, вместо того чтобы добавлять свой корневой CA в корневое хранилище браузера.

Это изменение будет реализовано начиная с Firefox 68, выпуск которого запланирован на 9 июля.

Версия 68 расширенной поддержки Firefox (ESR), которая часто используется в корпоративных средах, включит эту настройку по умолчанию, чтобы упростить ее для администраторов, которым часто требуется, чтобы Firefox распознал собственный CA своей организации.

Mozilla также отметила, что пользователи могут видеть, использует ли веб-сайт импортированный сертификат корневого CA, щелкнув значок блокировки в строке URL-адреса.

«Это может вызвать некоторую обеспокоенность у Firefox, чтобы он автоматически доверял CA, которые не прошли аудит и прошли строгий процесс Mozilla», - сказал Уэйн Тейер, руководитель программы CA в Mozilla. «Тем не менее, любой пользователь или программа, которые могут добавить CA в ОС, почти наверняка также могут добавить тот же CA непосредственно в корневое хранилище Firefox. Кроме того, поскольку мы импортируем только те CA, которые не включены в операционную систему, Mozilla поддерживает нашу способность устанавливать и применять самые высокие стандарты в отрасли для общедоступных доверенных CA, которые Firefox поддерживает по умолчанию. Короче говоря, изменения, которые мы вносим, ​​отвечают цели облегчения использования Firefox без ущерба для безопасности».