Jak zrobić certyfikaty CA systemu zaufania Firefox?

Nasz administrator sieci niedawno włączył kontrolę HTTPS na naszej zaporze ogniowej / routerze. Dla użytkowników IE jest to w porządku, ponieważ wszystkie certyfikaty zostały rozpowszechnione za pośrednictwem usługi Active Directory dla komputerów przyłączonych do domeny. Mamy jednak wielu użytkowników Firefoksa, którzy teraz zgłaszają błędy certyfikatów praktycznie na każdej stronie HTTPS.

Firefox korzysta z własnego sklepu CA i są z niego naprawdę dumni . Czy istnieje sposób, aby Firefox domyślnie ufał systemowemu systemowi certyfikatów? Widzę wiele postów na temat tego, jak to zrobić w systemie Linux, ale nic nie dotyczy Windows.

Podejrzewam, że z tego postu jest to niemożliwe, ale ten post ma prawie 4 lata.

Od wersji Firefox 49 dostępna jest pewna obsługa certyfikatów CA systemu Windows oraz obsługa certyfikatów głównych dla przedsiębiorstw w usłudze Active Directory od wersji Firefox 52. Od wersji 63 obsługiwane jest także w systemie macOS.

Od wersji Firefox 68 ta funkcja jest domyślnie włączona w wersji ESR (korporacyjnej), ale nie w (standardowej) szybkiej wersji.

Możesz włączyć tę funkcję w systemie Windows i macOS about:config, tworząc następującą wartość logiczną:

security.enterprise_roots.enabled

i ustaw na true.

W przypadku GNU / Linux jest to zwykle zarządzane przez p11-kit-trust i nie jest wymagana flaga.

Wdrażanie całego systemu konfiguracji

Od wersji Firefox 64 istnieje nowy i zalecany sposób korzystania z zasad, udokumentowany na stronie https://support.mozilla.org/en-US/kb/setting-certificate-authorities-firefox

W przypadku starszych wersji folder instalacyjny przeglądarki Firefox można pobrać z rejestru systemu Windows, a następnie przejść do defaults\pref\podkatalogu i utworzyć nowy plik z następującymi elementami:

/* Allows Firefox reading Windows certificates */    
pref("security.enterprise_roots.enabled", true);

Zapisz go z .jsrozszerzeniem, np. trustwincerts.jsI uruchom ponownie Firefox. Wpis pojawi się about:configdla wszystkich użytkowników.

Wdrażanie certyfikatów systemu Windows w całym systemie

W przeglądarce Firefox od 49 do 51 obsługuje tylko sklep „Root”. Od Firefox 52 obsługuje inne sklepy, w tym te dodane z domeny za pośrednictwem AD.

Jest to nieco poza zakresem, ale wyjaśnia, który był jedynym magazynem certyfikatów obsługiwanym przez Firefoksa dla wersji od 49 do 51 lub tylko dla testów lokalnych. Ponieważ dotyczy to wszystkich użytkowników komputerów lokalnych, wymaga uprawnień administratora w oknie CMD / PowerShell lub we własnym skrypcie automatycznego wdrażania:

certutil -addstore Root path\to\cafile.pem

Można to również zrobić z poziomu konsoli zarządzania, klikając wiele okien, jeśli wolisz mysz ( Porady: wyświetlanie certyfikatów za pomocą przystawki MMC ).

Czy zastanawiałeś się nad wdrożeniem tych certyfikatów w Firefoksie, a także w magazynie certyfikatów Windows?

https://wiki.mozilla.org/CA:AddRootToFirefox szczegółowo kilka opcji:

1. Zmodyfikuj bazę danych certyfikatów bezpośrednio, używając certutil.

2. Użyj funkcji autokonfiguracji Firefoksa, umieszczając plik javascript obok pliku binarnego, aby dodać certyfikaty:

   var certdb = Cc["@mozilla.org/security/x509certdb;1"].getService(Ci.nsIX509CertDB);
   var certdb2 = certdb;
   try {
       certdb2 = Cc["@mozilla.org/security/x509certdb;1"].getService(Ci.nsIX509CertDB2);
   } catch (e) {}
   cert = "MIIHPT...zTMVD"; // This should be the certificate content with no line breaks at all.
   certdb2.addCertFromBase64(cert, "C,C,C", "");
   

3. Rozpowszechnij pliki bazy danych certyfikatów bezpośrednio.
4. Spakuj Firefoksa do instalacji, w tym certyfikaty w twojej dystrybucji.
5. Użyj CCK2, aby utworzyć rozszerzenie, które dodaje certyfikaty.

Nie ma dobrego sposobu na wymuszenie korzystania ze sklepu systemowego, ale istnieje przyjemne obejście (wymuszenie korzystania ze spersonalizowanego sklepu kompatybilnego z Firefox).

Poniższy fragment skryptu działa dobrze podczas logowania / wylogowywania.

Stop-Process -processname firefox

$DBPath="\\yourserver\yourshare\cert8.db"
$FirefoxProfiles=Get-ChildItem $Env:appdata\Mozilla\Firefox\Profiles     
$DB=Get-Item $DBPath    
ForEach ( $Profile in $FirefoxProfiles )
{
    $FullPath=join-path $Env:appdata\Mozilla\Firefox\Profiles $Profile
    Copy-Item $DB $FullPath
    $FullPath
}

Istnieje bezpłatny projekt, który umożliwia zarządzanie certyfikatami root Firefox za pomocą zasad grupy. Możesz zainstalować lub usunąć certyfikaty główne z bazy danych Firefox.