Na witrynach, które są szyfrowane (ich adres URL zaczyna się od "https://"), Firefox musi zweryfikować, czy certyfikat tej witryny jest poprawny. Jeżeli certyfikat nie może być zweryfikowany, Firefox przerwie połączenie ze stroną i wyświetli komunikat błędu "Ostrzeżenie: potencjalne zagrożenie bezpieczeństwa". Poprzez kliknięcie przycisku Zaawansowane można sprawdzić konkretny rodzaj błędu certyfikatu, który napotkał Firefox.

W tym artykule znajdziesz wyjaśnienie przyczyn wyświetlania błędów SEC_ERROR_UNKNOWN_ISSUER, MOZILLA_PKIX_ERROR_MITM_DETECTED lub ERROR_SELF_SIGNED_CERT podczas prób odwiedzania stron internetowych oraz sposoby rozwiązania tego problemu.

Co oznacza ten błąd?

Podczas bezpiecznego połączenia strona musi dostarczyć certyfikat wydany przez zaufany urząd certyfikacji w celu zapewnienia, że użytkownik jest podłączony do pożądanej strony, a połączenie jest szyfrowane. Jeżeli pojawia się strona z błędem "Ostrzeżenie: potencjalne zagrożenie bezpieczeństwa" i po naciśnięciu przycisku Zaawansowane wyświetlony jest kod błędu SEC_ERROR_UNKNOWN_ISSUER lub MOZILLA_PKIX_ERROR_MITM_DETECTED, oznacza to, że dostarczony certyfikat został wydany przez urząd certyfikacji, który nie jest znany przeglądarce Firefox - a zatem nie można mu domyślnie ufać.

Błąd występuje na wielu szyfrowanych stronach

Jeśli ten problem pojawi się na wielu niepowiązanych stronach internetowych, oznacza to, że coś w systemie lub sieci przechwytuje połączenia i wstrzykuje certyfikaty w sposób, który nie jest zaufany w przeglądarce Firefox. Najczęstsze przyczyny to skanowanie szyfrowanych połączeń za pomocą oprogramowania zabezpieczającego lub podsłuchiwanie transmisji przez złośliwe oprogramowanie, zastępujące legalne certyfikaty witryn internetowych ich własnymi certyfikatami. W szczególności kod błędu MOZILLA_PKIX_ERROR_MITM_DETECTED wskazuje, że Firefox wykrył przechwycenie połączenia.

Programy antywirusowe

Oprogramowanie antywirusowe firm trzecich może zakłócać bezpieczne połączenia programu Firefox. Możesz spróbować przeinstalować je, co może spowodować ponowne umieszczenie właściwych certyfikatów w Firefox trust store.

Oto kilka alternatywnych rozwiązań, które możesz wypróbować:

Avast/AVG

W produktach bezpieczeństwa Avast lub AVG możesz wyłączyć przechwytywanie bezpiecznych połączeń:

1. Otwórz panel nawigacyjny aplikacji Avast lub AVG.
2. Przejdź do Menu i kliknij Ustawienia > Ochrona > Główne osłony
3. Przewiń w dół do sekcji Dostosuj ustawienia ochrony i wybierz Osłona WWW.
4. Odznacz pole wyboru Włącz skanowanie HTTPS i potwierdź przez naciśnięcie przycisku OK.

   W starszych wersjach tego oprogramowania tę opcję zmienisz poprzez Menu > Ustawienia > Komponenty i naciśnięcie przycisku Dostosuj obok menu Osłona WWW.

Szczegółowe informacje na ten temat można znaleźć w artykule pomocy technicznej Avasta Zarządzanie skanowaniem protokołu HTTPS w ramach Osłony WWW w programie Avast Antivirus.

Bitdefender

W produktach bezpieczeństwa Bitdefender możesz wyłączyć przechwytywanie bezpiecznych połączeń:

1. Otwórz panel nawigacyjny aplikacji Bitdefender.
2. Przejdź do Ochrona i w sekcji Zapobieganie zagrożeniom online kliknij Ustawienia.
3. Usuń zaznaczenie z ustawienia Skanowanie szyfrowanych stron internetowych.

   W starszych wersjach Bitdefendera tę opcję znajdziesz w Moduły > Ochrona sieci > Skanowanie SSL

W Bitdefender Antivirus Free nie można kontrolować tego ustawienia. Zamiast tego możesz spróbować naprawić lub usunąć program, gdy masz problemy z dostępem do bezpiecznych stron internetowych.

Dla produktów korporacyjnych Bitdefender, przejdź na oficjalną stronę pomocy Bitdefendera (w jęz. ang.).

Bullguard

W produktach bezpieczeństwa BullGuard możesz wyłączyć przechwytywanie bezpiecznych połączeń dla konkretnych, popularnych stron internetowych takich jak Google, Yahoo i Facebook:

1. Otwórz panel nawigacyjny aplikacji BullGuard.
2. Kliknij Settings i włącz widok Advanced w prawym górnym rogu panelu.
3. Przejdź do Antivirus > Safe browsing.
4. Odznacz opcję Show safe results dla tych witryn, które wyświetlają komunikat błędu.

ESET

W produktach bezpieczeństwa ESET możesz spróbować wyłączyć i ponownie włączyć filtrowanie protokołu SSL/TLS lub ogólnie wyłączyć przechwytywanie bezpiecznych połączeń, według instrukcji zawartych na oficjalnej stronie pomocy ESET (w jęz. ang.).

Kaspersky

Poszkodowani użytkownicy Kaspersky powinni przejść na najnowszą wersję swojego produktu bezpieczeństwa, ponieważ Kaspersky 2019 i wyżej zawierają środki zaradcze dla tego problemu. Strona pobierania Kaspersky zawiera linki aktualizacyjne, które zainstalują najnowszą bezpłatną wersję dla użytkowników z aktualną subskrypcją.

W przeciwnym razie można również wyłączyć przechwytywanie bezpiecznych połączeń:

1. Otwórz panel nawigacyjny programu Kaspersky.
2. Kliknij Ustawienia na dole po lewej.
3. Kliknij Dodatkowe, następnie Sieć.
4. W sekcji Skanowanie połączeń szyfrowanych zaznacz opcję Nie skanuj połączeń szyfrowanych i potwierdź tę zmianę.
5. Na zakończenie, zamknij i ponownie uruchom system operacyjny, by wprowadzone przez ciebie zmiany zostały uwzględnione w jego konfiguracji.

Monitorowanie/filtrowanie w sieciach korporacyjnych

Niektóre programy monitorujące lub filtrujące połączenia internetowe, stosowane w środowiskach korporacyjnych, mogą przechwytywać szyfrowane połączenia zastępując certyfikat witryny swoim własnym, jednocześnie powodując błędy certyfikatów bezpiecznych witryn.

Jeśli podejrzewasz taką sytuację, skontaktuj się z działem informatycznym twojej firmy w celu zapewnienia poprawnej konfiguracji Firefoksa, aby umożliwić mu prawidłowe działanie w takim środowisku. Konieczne może być umieszczenie certyfikatu w magazynie zaufanych dostawców programu Firefox. Więcej informacji dla działów IT na ten temat można znaleźć na stronie Wiki Mozilli CA: AddRootToFirefox.

Złośliwe oprogramowanie

Niektóre formy złośliwego oprogramowania przechwytujące zaszyfrowany ruch internetowy mogą być przyczyną tego komunikatu o błędzie - przejdź do artykułu Rozwiązywanie problemów z Firefoksem spowodowanych przez złośliwe oprogramowanie by dowiedzieć się, jak radzić sobie ze złośliwym oprogramowaniem.

Błąd występuje tylko na konkretnej stronie

W przypadku gdy problem ten pojawia się problem tylko na jednej witrynie, tego typu błąd zwykle oznacza, że serwer WWW danej strony nie jest prawidłowo skonfigurowany. Jeśli ten błąd występuje na popularnej witrynie, takiej jak Google czy Facebook lub też stronach, na których odbywają się transakcje finansowe, przejdź do punktu opisanego powyżej.

Certyfikat wydany przez organizację należącą do firmy Symantec

Po ujawnieniu nieprawidłowości w certyfikatach wydawanych przez firmę Symantec i należące do niej organizacje, twórcy przeglądarek, łącznie z Mozillą, rozpoczęli stopniowe usuwanie obsługi tych certyfikatów ze swojego oprogramowania. Firefox nie będzie dłużej ufał certyfikatom serwerów wydanym przez Symantec, włączając w to certyfikaty wydane przez podległe marki GeoTrust, RapidSSL, Thawte oraz Verisign. Więcej informacji na ten temat znajdziesz na blogu Mozilli.

W takim wypadku, najczęściej wyświetlany będzie komunikat błędu MOZILLA_PKIX_ERROR_ADDITIONAL_POLICY_CONSTRAINT_FAILED, ale dla niektórych serwerów będzie to SEC_ERROR_UNKNOWN_ISSUER. Jeśli natkniesz się na taką stronę, powinieneś skontaktować się z jej właścicielem, aby poinformować go o tym problemie.

Mozilla zdecydowanie zachęca właścicieli stron mających ten problem do wymiany ich certyfikatów. Więcej pomocnych informacji na ten temat znajdziesz w tym wpisie blogowym na witrynie DigiCert i w DigiCert Tools.

Brak certyfikatu pośredniego

Na stronie z brakującym certyfikatem pośrednim, po naciśnięciu przycisku Zaawansowane na stronie z informacją o błędzie, zostanie wyświetlony poniższy opis błędu:

Certyfikat strony internetowej mógł nie być wystawiony przez zaufany urząd certyfikacji, lub też nie został dostarczony kompletny łańcuch certyfikacji (brakuje tak zwanego "certyfikatu pośredniego").
Możesz przetestować, czy witryna została poprawnie skonfigurowana przez wpisanie adresu tej witryny w narzędziach testujących, takich jak na przykład strona testowa SSL Labs. Jeśli strona testowa zwraca komunikat "problemy z łańcuchem: Niekompletny", oznacza to brak właściwego certyfikatu pośredniego. Zalecamy skontaktowanie się z właścicielami strony internetowej i poinformowanie ich o tym problemie.

Samopodpisane certyfikaty

Na stronie z samopodpisanym certyfikatem po naciśnięciu przycisku Zaawansowane, na stronie z informacją o błędzie, zostanie wyświetlony komunikat z kodem ERROR_SELF_SIGNED_CERT:

Samopodpisany certyfikat, który nie został wydany przez uznany urząd certyfikacyjny, domyślnie uważany jest za niezaufany. Certyfikaty samopodpisane mogą zapewnić bezpieczeństwo przesyłanych danych, ale nie udzielają żadnych informacji na temat ich prawdziwych odbiorców. Model ten jest powszechny dla witryn intranetowych, które nie są dostępne publicznie - dla takich stron możesz pominąć to ostrzeżenie.

Pomijanie ostrzeżenia

Jeśli strona na to pozwala, możesz ominąć ostrzeżenie aby ją odwiedzić, pomimo tego że jej certyfikat nie jest domyślnie uważany za zaufany:

1. Na stronie z ostrzeżeniem naciśnij przycisk Zaawansowane.
2. Kliknij Akceptuję ryzyko, kontynuuj.