サードパーティのルート証明書はどの程度信頼できますか？
最近、サードパーティベンダーのTelerikのFiddler2を使用しようとしました。ネットワークのHTTPSトラフィックを復号化しているときに、Windowsオペレーティングシステムに独自のルート証明書をインストールするように求められました。
以下のスクリーンショットを見てください：
この種のルート証明書を信頼しても安全ですか？そのようなルート証明書をインストールするときに講じるべき予防策は何ですか？
その影響を理解している限り、安全です。
Fiddlerは、プロキシー/中間者として機能し、ユーザーとターゲット間のトラフィックをインターセプトおよび復号化します。
SSLサイトの場合、これは、ターゲットの名前でSSL証明書を動的に生成することによって行われます。問題は、ブラウザーがFiddlerによって発行された証明書を信頼しないため、Fiddlerのルート証明書をインストールすることをお勧めします。
これが悪い可能性がある理由は、悪意のあるユーザーがFiddlerのルートで署名されたSSL証明書を生成した場合などです。 。
Fiddler（およびBurpやOWASP ZAPなどの同様のプロキシ）が機能することを私が理解している方法は、各インストールが一意のルート証明書を生成し、プロキシとして割り当てられている場合、オンザフライで証明書を生成するために使用するためです。この接続を介して流れるトラフィックを傍受および変更します（ソフトウェアの目的）。
ルート証明書として。生成されたものはインストールごとに一意であり、誰かがこれを誤用する可能性がある唯一の方法は、そのコピーを取得し、それを使用してマシンが信頼する証明書を作成することです。これを行うには、証明書にアクセスするために、PCへの認証済みアクセスが必要です。
したがって、マシンへの認証済みアクセスを取得できる攻撃者のリスクがある場合は、このルートを信頼したくない場合があります。しかし、そのアクセス権がある場合、攻撃者に対するセキュリティは、とにかくかなり悪い場所にあります。
一般的に、私が使用するプロキシツールによって生成されたルート証明書を信頼します。
「DO NOT TRUST」は、実際にはFiddlerによって作成された証明書自体に含まれています。 Fiddlerは、HTTPSプロキシとして機能することにより、HTTPS接続を解釈できます。 HTTPS経由でサイトに接続すると、Fiddlerは、そのサイトからのものであると主張する証明書を生成し、実際のサイトにアクセスします。この方法でFiddlerはトラフィックを確認できますが、ブラウザーは正常な動作をします。
それを信頼することの問題は、そのルート証明書の秘密鍵がFiddler実行可能ファイルによって作成され、特に十分に保護されていないことです。ルート証明書として信頼している場合、そのキーにアクセスできる人はだれでも、必要なサイトが有効なサイトであることをコンピューターに確信させることができます。
サードパーティの証明書は、ブラウザまたはOSにインストールされているCA証明書よりも本質的に安全ではありません。重要なのは、そのルート証明機関の秘密キーのセキュリティと、ルート証明機関が証明書に署名するためのポリシーです。ルート証明書を信頼することで、対応する秘密鍵へのアクセス権を持つすべての人が、アクセスしているWebサイトが有効かどうかを判断するのに信頼できると確信しています。
Fiddlerのような比較的保護されていない秘密鍵では、これは決して当てはまりません。したがって、Fiddlerの警告です。