Author Topic: 以前と異なり、HTTPSスキャン有効時に、SSL証明書がavastオリジナルのものに置き換わってしまう  (Read 5624 times)

0 Members and 1 Guest are viewing this topic.

REDACTED

  • Guest
こんばんは。AvastのSSLスキャンについて、疑問が出てきたのでお伺いします。

先日から、最新版のAvast無償バージョンを使いはじめました。

以前は、ウェブシールドの「SSLスキャン(HTTPSスキャン)」を有効にしていても、ブラウザに表示されるSSL証明書は、サイト側が用意している物でした。
例えば、https://www.facebook.com/ にアクセスすると、ブラウザに表示されるSSL証明書は、サイト側のオリジナルのものでした。

しかし今のバージョンでは、avastのオリジナルのSSL証明書が表示されるようになったようです。

私が最後にavastを利用したのは、3ヶ月ほど前のことです。その時点では、HTTPSスキャンを有効にしていても、SSL証明書が自動でサイト側オリジナルのものに置き換わっていたのですが…。これは、EV-SSL以外の一般的なSSL対応サイトでも同様でした。何か、HTTPSスキャンに関する仕様が変わったのでしょうか?


疑問1. なぜ、SSL対応サイトの証明書が、avast独自の証明書に置き換えられるようになったのか? ブラウザのURLバーに表示される証明書が、avastオリジナルのものになった理由をご存知ですか?

疑問2. FacebookやYahoo JAPANなど、比較的重要な情報を扱うサービスでは、サイト側の証明書をチェックした上でログインしたいと思っています。そのようなEV-SSLに非対応のページでも、avast独自の証明書に置き換わることを防ぐ方法をご存知ですか? やはり、HTTPSスキャンを無効にするしか、方法が無いのでしょうか?

以上、ところどころに誤りがあるかもしれませんが、指摘や意見をいただきたいと思います。
皆さんの書き込みをお待ちしております。


・Avast 無料アンチウイルス 12.3.2280 (定義ファイルは最新)
・Windows10 Home
・Firefox 49.0.2


Offline NON

  • Japanese User
  • Avast Überevangelist
  • Ultra Poster
  • *****
  • Posts: 5494
  • Whatever will be, will be.
SSL でエラーが出るという質問(下記)があり、確認したところ同様の事象のようです。
確かに以前は、IEやEdge等一部のブラウザを除き、元のウェブサイトの証明書が使われる仕様でした。
さらに以前(HTTPSスキャン導入当初)は、現時点と同じく証明書がAvast のものに置き換わる仕様でしたので、初期の動作に戻ったことになります。

安全な接続ができませんでした エラーコード: SSL_ERROR_NO_CYPHER_OVERLAP
https://forum.avast.com/index.php?topic=192520.0


疑問1. なぜ、SSL対応サイトの証明書が、avast独自の証明書に置き換えられるようになったのか? ブラウザのURLバーに表示される証明書が、avastオリジナルのものになった理由をご存知ですか?
今のところ、「いつの間にか仕様が変わっていた(先祖返りしていた)」、としか回答のしようがありません。
英語版フォーラムにトピックを立てましたが、現時点で回答はありません。

Quote
疑問2. FacebookやYahoo JAPANなど、比較的重要な情報を扱うサービスでは、サイト側の証明書をチェックした上でログインしたいと思っています。そのようなEV-SSLに非対応のページでも、avast独自の証明書に置き換わることを防ぐ方法をご存知ですか? やはり、HTTPSスキャンを無効にするしか、方法が無いのでしょうか?
元の証明書を使うには、HTTPSスキャンを無効にするしか方法は無いでしょう。あるいは、未確認ですが、古いバージョンを使うと、動作が変わるかもしれません。

HTTPSスキャンの無効化については、私としてはお勧めしかねるところです。開発者が「現時点においてHTTPSスキャンを無効にすることは、ウェブシールドを無効にするのとほぼ同義である」とコメントしているくらいですので、無効にするとセキュリティレベルが大幅に低下することは避けられないかと思います。
一応Avast 側(ウェブシールド側)で証明書の検証は行っていますので、そちらを信用して頂くしかないかと。
« Last Edit: November 04, 2016, 02:53:32 PM by NON »
Desktop: Win10 Pro 22H2 64bit / Core i5-7400 3.0GHz / 32GB RAM / Avast 23 Premium Beta(Icarus) / Comodo Firewall
Notebook: Win10 Pro 22H2 64bit / Core i5-3340M 2.7GHz / 12GB RAM / Avast 23 Free / Windows Firewall Control
Server: Win11 Pro 23H2 64bit / Core i3-4010U 1.7GHz / 12GB RAM / Avast One 23 Essential

Avast の設定について解説しています。よろしければご覧ください。

REDACTED

  • Guest
NON様、早速ご指摘をいただきましてありがとうございます。

その後あれこれ考えた結果、メインとして利用しているデスクトップPCには、とりあえず他のアンチマルウェアソフトを導入することにしました。なお、持ち出し用の別のノートPCには、引き続きAvast無償版をインストールしています。

今日の夕方に、改めてHTTPSスキャン有効時の証明書の表示についてチェックしたのですが、やはり上記のような結果になりました。

ただ、いくつか補足する点もあります。



補足1:Google公式サイトのホームページ( https://www.google.co.jp/ )では、ロケーションバーで確認できる証明書が、サイト側オリジナル(Googleに対して発行されたSSL証明書)でした。つまり、HTTPSスキャン用のAvast側のフェイク証明書ではなかったということです。一方、日常的にアクセスするSSL対応サイトの数が多くないこともあり、この他のページでは、同様の現象は確認できませんでした。

補足2:FacebookやBingなどの有名サイトも含め、EV-SSLではないSSLサイトにおいてAvastのHTTPSスキャンが有効だと、Avastのフェイク証明書が表示される(これらのサイトでは、ブラウザのロケーションバーで、サイト側のオリジナルの証明書は確認できませんでした)。



なお、当該ノートPCは、以下のとおりです。


Windows10 Home 64bit
Firefox 49.0.2 64bit(ホームページは、 https:/www.google.co.jp/ に設定済み)
Avast 無料アンチウイルス 最新版(定義データベースも最新)


また、HTTPSスキャンについて、NON様にご指摘いただいた点についても、初耳でした。

Quote
HTTPSスキャンの無効化については、私としてはお勧めしかねるところです。開発者が「現時点においてHTTPSスキャンを無効にすることは、ウェブシールドを無効にするのとほぼ同義である」とコメントしているくらいですので、無効にするとセキュリティレベルが大幅に低下することは避けられないかと思います。
一応Avast 側(ウェブシールド側)で証明書の検証は行っていますので、そちらを信用して頂くしかないかと。
→→なるほど、そのような仕組みなんですね。初耳でした。ということは、AvastはSSL対応サイトとの接続時に、正常にHTTPS接続が行われているのか確認しているということでよろしいのでしょうか?


以上、ご報告でした。事実誤認などがあるかもしれませんので、予めご留意ください。

ところで、このHTTPSスキャンに関する問題については、NON様が書き込まれた英語版公式フォーラムの該当するトピックに、直接書き込んだ方がよろしいのでしょうか?もし、直接英語版フォーラムのトピックに書き込むほうが問題解決により役立つのであれば、そうしたいと思っています。


この度は、NON様もお忙しい中ご対応いただきありがとうございます。
私の書き込みは、以上です。よろしくお願いします。

Offline NON

  • Japanese User
  • Avast Überevangelist
  • Ultra Poster
  • *****
  • Posts: 5494
  • Whatever will be, will be.
前回に私が回答して以後、英語版フォーラムのトピックに開発元からコメントが来ました。

[12.3.2280] Possible bug with HTTPS scan (MITM on Firefox, SSL errors)
https://forum.avast.com/index.php?topic=192534.msg1347062#msg1347062

それによると、「特定のシステム環境やブラウザバージョンの組み合わせにおいては、証明書を保ったままでのスキャンができず、証明書の置き換えによるHTTPSスキャンが行われる場合がある」とのことで、バグや仕様変更という訳ではなく、環境依存でそうなる場合がある、とのことでした。
「Firefox のバージョン50では、証明書の置き換えはほとんど起きなくなるはず」ともコメントされています。

補足1:Google公式サイトのホームページ( https://www.google.co.jp/ )では、ロケーションバーで確認できる証明書が、サイト側オリジナル(Googleに対して発行されたSSL証明書)でした。つまり、HTTPSスキャン用のAvast側のフェイク証明書ではなかったということです。一方、日常的にアクセスするSSL対応サイトの数が多くないこともあり、この他のページでは、同様の現象は確認できませんでした。
私のPCではGoogleでも証明書の置き換えが行われているので、この辺の動作の違いも開発元の言う「環境依存」なのかもしれません。

Quote
Quote
HTTPSスキャンの無効化については、私としてはお勧めしかねるところです。開発者が「現時点においてHTTPSスキャンを無効にすることは、ウェブシールドを無効にするのとほぼ同義である」とコメントしているくらいですので、無効にするとセキュリティレベルが大幅に低下することは避けられないかと思います。
一応Avast 側(ウェブシールド側)で証明書の検証は行っていますので、そちらを信用して頂くしかないかと。
→→なるほど、そのような仕組みなんですね。初耳でした。ということは、AvastはSSL対応サイトとの接続時に、正常にHTTPS接続が行われているのか確認しているということでよろしいのでしょうか?
証明書置き換えによるHTTPSスキャンは、通常はブラウザとサーバ間で行うSSLの認証と接続を、ブラウザに代わってウェブシールドとサーバ間で行い、ブラウザに対してはウェブシールドがサーバの代わりとしてSSLの認証と接続を行う(よって証明書がAvastのものになる)、という仕組みです。

図にすると、通常は

[ブラウザ] <===[SSL: サーバの証明書]===> [サーバ]

となるものが、

[ブラウザ] <===[SSL: Avast の証明書]===> [ウェブシールド] <===[SSL: サーバの証明書]===> [サーバ]

になる、ということです。サーバとウェブシールド間でのSSL接続の確立に当たっては、ブラウザが行うのと同じように証明書の検証等が行われています。
仕組みとしては、「中間者攻撃」(MITM: Man In The Middle)と同様の原理です。

Quote
ところで、このHTTPSスキャンに関する問題については、NON様が書き込まれた英語版公式フォーラムの該当するトピックに、直接書き込んだ方がよろしいのでしょうか?もし、直接英語版フォーラムのトピックに書き込むほうが問題解決により役立つのであれば、そうしたいと思っています。
開発元の回答も来たことですし、今のところは大丈夫と思います。
Desktop: Win10 Pro 22H2 64bit / Core i5-7400 3.0GHz / 32GB RAM / Avast 23 Premium Beta(Icarus) / Comodo Firewall
Notebook: Win10 Pro 22H2 64bit / Core i5-3340M 2.7GHz / 12GB RAM / Avast 23 Free / Windows Firewall Control
Server: Win11 Pro 23H2 64bit / Core i3-4010U 1.7GHz / 12GB RAM / Avast One 23 Essential

Avast の設定について解説しています。よろしければご覧ください。