Certificate Watch von PilzAdam

Dieses Add-on beobachtet die TLS-Zertifikate von Webseiten und warnt, wenn diese sich ändern. Bei dem ersten Besuch einer neuen Domain wird ihr Zertifikat automatisch in den lokalen Speicher übernommen. Bei zukünftigen Verbindungen wird geprüft, ob das Zertifikat der Webseite mit der gespeicherten Version übereinstimmt.

Es können drei Zustände angezeigt werden:

• Gespeichert: Das Zertifikat der Domain entspricht der gespeicherten Version.
• Neu: Es gibt diese Domain noch nicht im Speicher; das Zertifikat wird automatisch abgespeichert.
• Verändert: Das Zertifikat einer Domain unterscheidet sich von der gespeicherten Version. Dies bedeutet, dass das Zertifikat dieser Domain verändert wurde. Ein Klick auf das Add-on Symbol zeigt genauere Informationen über die Veränderungen und hat die Option, dieses neue Zertifikat in den Speicher aufzunehmen (dies ersetzt das alte gespeicherte Zertifikat).

Dieses Add-on kann als Gegenmaßnahme für Angriffe dienen, bei denen der Angreifer ein valides Zertifikat für eine Webseite besitzt. Änderungen an Zertifikaten, die der Browser ohne weiteres annimmt, werden durch dieses Add-on sichtbar gemacht. Das Ziel dieser Gegenmaßnahme ist es, den Benutzer auf veränderte Zertifikate aufmerksam zu machen; der Benutzer selbst muss dann entscheiden, was zu tun ist.

Folgende Punkte sind zu beachten:

• Dieses Add-on prüft nicht, ob Zertifikate valide sind. Der Browser macht das bereits. Dieses Add-on vergleicht nur Zertifikate, die von dem Browser als sicher eingestuft wurden.
• Dieses Add-on blockiert keine Verbindungen, bei denen ein verändertes Zertifikat verwendet wird. Es wird lediglich der Nutzer darüber informiert. Wenn ein verändertes Zertifikat gefunden wird, bleibt es dem Benutzer überlassen, wie er darauf reagieren möchte (z.B. die Seite verlassen oder das neue Zertifikat akzeptieren).
• Dieses Add-on implementiert Trust On First Use (TOFU): dem ersten Zertifikat, dass für eine Domain angekommen ist, wird automatisch vertraut. Lediglich zukünftige Veränderungen an dem Zertifikat für die Domain erzeugen eine Warnung.
• Benutzer dieses Add-ons sollten grundlegende Kenntnisse von TLS-Zertifikaten haben. Die Warnungen von diesem Add-on ergeben nur Sinn, wenn der Benutzer sie korrekt interpretieren kann.
• Dieses Add-on funktioniert nicht im Privaten Modus (siehe Firefox bug 1329304).