lokaler HTTPS proxy, wie geht das?

[Sven Rautenberg]

Moin!

Leider ist Google nicht sehr hilfreich bei der Suche nach "Browser, der kein HSTS beherrscht" (Den IE kannst Du nicht ernsthaft meinen). Welchen meinst Du denn? Außerdem erscheint mir das ein seltsamer Ratschlag zu sein. Wenn die Seiten in einem Browser korrekt angezeigt werden, der kein HSTS beherrscht, was wäre dann der Sinn desselben? Außer, mich auszuhorchen und zu unterbinden, daß ich Werbung schon im Quelltext unterbinde?

Ein HTTPS-Proxy, der den Inhalt der Webseite ändern soll, ist der klassische Man-in-the-middle-Angriff, den man nicht so gerne haben will. Deswegen ja Verschlüsselung, welche den Browser in die Lage versetzen soll, zu verifizieren, mit der richtigen Gegenstelle zu sprechen.

Dein Proxy muss also anstelle des Browsers die HTTPS-Verbindung herstellen, muss dabei die Gültigkeit des Zertifikats sicherstellen, lädt sich dann die Seite herunter, ändert irgendwas, und muss am Ende diese Inhalte wiederum über HTTPS an den Browser schicken - aber weil der Proxy das Originalzertifikat nicht wiederherstellen kann, erstellt er sich eben ein eigenes, selbst unterschriebenes.

Der Browser vertraut diesem Zertifikat nur eben nicht, und warnt den User. Dass das Gestatten von Ausnahmen für nicht korrekt unterschriebene Zertifikate bei HSTS-Seiten abgeschaltet ist, scheint mir nur konsequent.

Grüße Sven