Come sottolineato nei commenti e nelle risposte, ci sono molti motivi legittimi per cui vorresti aggiungere una CA al truststore del tuo browser e i meccanismi per farlo richiedono l'accesso di amministratore alla macchina / browser.

Stai implicando un modello di fiducia in cui non consideri il tuo amministratore (o te che hai passato) come affidabile e vorresti che il browser distinguesse visivamente tra un certificato che è pubblicamente attendibile (cioè emesso da una CA in Mozilla elenco attendibile pubblicamente) e uno attendibile privatamente perché è stato aggiunto esplicitamente al truststore del browser. Forse il solito verde con un simbolo di avvertenza per utenti privati?

Buona idea! Risolverebbe anche il mio problema di aver bisogno di due copie di Firefox installate: una per testare i prodotti che richiedono l'installazione di certificati e una per navigare in Internet. Dovresti vedere se Firefox ha già un miglioramento per questo e, in caso contrario, suggerirlo :)

Quello che vuoi è che il browser difenda l'utente dagli "attacchi" eseguiti dall'amministratore locale.

In tale scenario, la difesa è impossibile. L'amministratore "malizioso" può sempre sostituire il tuo Firefox legittimo con un impostore che ha compilato utilizzando le proprie CA, che mostrerà un lucchetto verde. Quando sei al lavoro e usi la macchina di qualcuno (azienda in questo caso), sei al 100% in balia del proprietario della macchina. Se l'azienda desidera ficcarti il ​​naso di nascosto, può sempre installare keylogger e vedere le tue password prima ancora che raggiungano un browser sicuro.

La casella verde non indica la sicurezza contro le minacce locali, indica la sicurezza da remoto curiosare. In questo caso, indica una connessione sicura al tuo ispettore TSL. Indica che i tuoi colleghi nella stessa LAN non possono spiare le tue password, da qui l'icona verde. Ciò che accade dopo che l'ispettore è responsabilità dell'amministratore di rete e il browser non è in grado di stabilire se utilizza effettivamente HTTP.

Quello che puoi fare, come utente, è visualizzare il certificato ed esaminarne il percorso di certificazione. Il tuo browser non può decidere se il certificato emesso da DigiNotar è "migliore" di quello emesso da EvilCorp (che potrebbe essere il tuo datore di lavoro). I certificati vengono costantemente modificati e anche le CA vengono modificate. Il browser non può decidere se una CA è più affidabile dell'altra. Solo tu puoi decidere chi è l'emittente e se puoi fidarti di loro e con che tipo di informazioni. Dovresti usare la macchina solo per attività legate al lavoro, quindi tecnicamente non stai facendo nulla che non vuoi che EvilCorp veda.

1. Perché l'elenco ufficiale cambia nel tempo.
2. Perché le aziende hanno un legittimo bisogno di includere CA "interne".
3. Perché le aziende hanno un legittimo interesse a poter a Man-in-the-Middle per motivi di sicurezza, conformità o risorse umane.
4. Perché sviluppatori e tester hanno una legittima esigenza di Man-in-the-Middle.

Preferiresti fidarti di StartCom oggi? Questo è ciò che otterresti con modifiche non banali.

Uno dei motivi principali per consentire una CA radice personalizzata è per lo sviluppatore web. Lo sviluppo e la compilazione di test utilizzano molto spesso un certificato interno (principalmente per costi e facilità di creazione). Non consentendoti di aggiungere la tua CA root comporterebbe uno stato (più) diverso tra la tua istanza di sviluppo / build e quella di produzione che potrebbe generare bug difficili da correggere.

Inoltre, il proxy aziendale, come azienda è (nella maggior parte delle legislazioni) responsabili di ciò che fai con la sua Internet, spesso usano man in the middle, che sebbene eticamente dubbio, è per lo più legale e previsto.

Un altro motivo per non codificare come root CA è consentire di rimuovere quello di cui non ti fidi più (forse sono sotto il controllo di un governo di cui non ti fidi, forse hanno recentemente perso la chiave, ecc.) indipendentemente dalla considerazione del tuo browser nei loro confronti.

Generalmente l'aggiunta di nuovi certificati radice richiede l'accesso a livello di amministratore o root. Quindi, non possono essere installati senza il consenso del proprietario del computer (a meno che non venga utilizzato un exploit).

Il problema sembra essere che hai un malinteso su chi possiede il computer. Se il computer è stato rilasciato dal tuo datore di lavoro e ha accesso come root, non è il "tuo" computer. È loro e ti permettono di usarlo. Non dovresti aspettarti la privacy usando quel sistema. Probabilmente ha detto qualcosa in tal senso nel contratto dei dipendenti. (I dettagli su questo possono variare a seconda delle leggi locali.)

Non c'è davvero nessuna buona ragione per cui i browser lo permettano e dovrebbero disabilitarlo. Consentitemi di affrontare una per una le giustificazioni errate:

1. Sviluppo Web. Non è necessaria una CA radice per firmare i certificati solo per un singolo dominio o un piccolo insieme finito di domini per cui stai sviluppando. Invece il browser potrebbe consentire l'aggiunta di certificati CA validi solo per determinati domini e avvisarti nella barra degli URL quando viene utilizzato un certificato di questo tipo, invece di consentire l'aggiunta di certificati CA che possono firmare per arbitrario domini.

2. Enterprise e AV MITM. Queste sono solo cattive idee per ragioni che puoi trovare discusse altrove. Implementa AV sugli endpoint, non tramite MITM. Il controllo delle risorse tramite MITM semplicemente non funziona se non contro utenti davvero ingenui. Se disponi di dati così sensibili che ritieni di aver bisogno del controllo delle risorse tramite MITM, probabilmente hai bisogno di sistemi con air gap senza accesso a Internet.

3. "Se il browser non lo consente, gli amministratori che desiderano aggiungere CA root modificheranno semplicemente il browser. " Sì, è sempre tecnicamente possibile, ma i fornitori di browser hanno l'opportunità di renderlo legalmente difficile o impossibile semplicemente condizionando l'uso del marchio del browser a non manomettere il CA trust UX. Lo sostengo da molto tempo. Se i browser lo facessero, gli utenti non appena vedessero "Firefox" o "Chrome" su un sistema in cui si siedono che non accetterà certificati fraudolenti per consentire a qualcuno di MITM fintanto che si fidano di quello la parte che ha istituito il sistema rispetta la legge . Questo è un presupposto abbastanza ragionevole in contesti come luoghi di lavoro, scuole, biblioteche, ecc. Ed è testabile, quindi se qualcuno infrange le regole, è facile eliminarlo e lasciare che il fornitore del browser avvii un'azione legale.

Se il tuo computer fa parte di una rete aziendale, ha senso aggiungere CA radice personalizzate per i siti Web interni che utilizzano HTTPS o vari pacchetti di aggiornamento o app interne che invii ai tuoi clienti / =.