Mozillaがセキュリティソフトに起因する「ウェブページに接続できない」問題の対策を発表

by Tim Gouw

Mozillaが開発するウェブブラウザのFirefoxでは、2019年1月にリリースされたFirefox 65以降でHTTPSサイトを開こうとすると、安全なサイトであるにも関わらず「安全な接続ではありません」と表示されてしまい、アクセスできない事例が報告されていました。このエラーの原因はPCにインストールされたセキュリティソフトにあったそうで、Mozillaは問題の対策を講じたと発表しています。

Fixing Antivirus Errors | Mozilla Security Blog
https://blog.mozilla.org/security/2019/07/01/fixing-antivirus-errors/

Firefox to Automatically Trust OS-Installed CA Certificates to Prevent TLS Errors
https://thehackernews.com/2019/07/firefox-https-security.html

FirefoxではHTTPSサイトに接続する際、ウェブサイトが提示するSSLサーバ証明書の正当性を検証しており、証明書が信頼できる認証局によって発行されたものかどうかをチェックしています。Firefoxはルートストアと呼ばれる信頼できる認証局のリストを管理しており、アクセスしようとしているウェブサイトの証明書を発行した認証局がルートストアに登録されていない場合、Firefoxはウェブサイトへのアクセスを中止して「安全な接続ではありません」というエラーメッセージを表示します。

このシステムは暗号通信を傍受する中間者攻撃などに対して有効ですが、Firefoxでは「複数の安全なサイトでエラーが発生する」という問題が報告されていました。Firefoxにおいてのみ報告されるこの問題は、PCなどにインストールされたセキュリティソフトに起因しているとのこと。

by geralt

セキュリティソフトの中には暗号化されたHTTPS接続が安全かどうかをチェックするため、デフォルトでHTTPSスキャン機能を有効化しているものが多く存在します。HTTPSスキャン機能ではセキュリティソフトがウェブページの証明書を独自のものに書き換え、マルウェアの存在や通信を傍受する第三者がいないかどうかを確かめているそうです。

しかし、セキュリティソフトが独自に発行する証明書の認証局がFirefoxのルートストアに登録されていない場合、Firefoxは「この証明書は危険だ」と判断してしまいます。これが、安全なはずのウェブサイトでFirefoxからのアクセスができなくなってしまう原因でした。

この問題に対処するため、MozillaはFirefox 68以降でHTTPS接続の際に証明書の正当性が確認できなかった場合、自動で「エンタープライズルート設定」という機能をオンにした状態で接続を再試行するように変更しました。

エンタープライズルート設定をオンにすると、ユーザー・管理者・コンピューターにインストールされているプログラムなどがOSに追加した認証局を、Firefoxのルートストアにインポートします。これにより、コンピューターにインストールされたセキュリティソフトが独自に発行する証明書についても、認証局の確認を取ることができるというわけ。このオプションはWindowsとMacで使用可能になる見込みで、今後はセキュリティソフトが原因で安全なウェブサイトへのアクセスが弾かれないようになります。

by geralt