原来 Avast 这般扫描 HTTPS

[caizixian]

传图太麻烦，图放在博客上了
http://www.ivancai.me/2014/12/06/how-avast-scan-https-connections.html

最近用了一台装有Avast 2015的电脑，上网时闲着没事干看了看某个网站的证书。结果发现是Avast! Web/Mail Shield Root颁发的。我感到很惊奇，在杀毒软件厂商中，就听过Symantec和COMODO有经营证书，什么时候Avast也来插上一脚了？

没管它，继续上网。又发现了一个网站使用了Avast颁发的证书。什么时候这货变得这么流行了，难道有免费证书？放狗一搜，毛都没看到。这不对啊，一个存在于系统信任的根证书存储的CA居然没有公开卖证书，还有这么多人用，太不对头了。

点开右下角，在隐藏的托盘图标中发现了一个Avast，啊，好像明白了什么。查看CA的证书生成日期，一问，原来和Avast的安装日期一致。再仔细翻翻Avast的设置，在网页防护设置中发现了启用HTTPS扫描。

这下基本明白了，敢情这货替换了所有HTTPS网站的证书啊。

猜测原理：软件安装时，利用OpenSSL（“关于”中明确指出有使用OpenSSL库）生成根证书，然后每访问一个网站就颁发对应的证书，然后利用私匙解密传输数据进行扫描。

那么问题来了，这样真的安全吗？MITM Attack可以防范吗？没有仔细研究，但这确实是一个巨大的安全隐患。

[rainy3636]

有点goagent的感觉…

[wy315700]

卡巴也是这么干的

[Halry]

nod没有，可能根本不扫描https

[402645707]

首先Avast作为国际大厂，应该不会把数据全往上传吧，而且这种东西在用户协议中也有写“会在不侵犯使用者隐私的情况下进行防护”，当然天朝的国际大厂。。。sony的baidu门应该有人知道吧，丢脸都丢到国外了，别人好心集成一个sdk，你却把用户资料往上传。。。“会根据中华人民共和国相关政策进行工作”直白点就是传
马上中考了，表示正在疯狂补英语，必须得出国啊，不然日子没法过了

[coolcfan]

凡是带HTTPS扫描的杀软都会这么干吧。

[Halry]

@402645707 初中？羡慕现在的小孩都有钱，本人对高考没希望了，以后还是洗碗算了

[tanyuxiang]

除了这般，还有啥办法。。。。

[yfdyh000]

所有HTTPS扫描的软件都是用这种中间人的方法吧。只要内部的检查处理没疏漏就没什么问题。
其他有HTTPS扫描的杀软以及Fiddler等都是这么做的，Avast只是后来者。

[ensonmj]

@402645707 知道斯诺登不？还信任所谓的国际大厂？

[sincway]

我前几天发现了，然后把 HTTPS 扫描关闭就没事了。。

[9hills]

https只能这么搞，但是搞后的安全性肯定差多了……

[402645707]

@ensonmj 别拿一个资本主义的公务员和我扯，看我大天朝社会主义，揭露就揭露，弄几没名没姓的小官或干脆直接弄一大的，责任往上推推推，然后该干嘛继续干嘛

[ensonmj]

@402645707 你以为资本主义就不是这样？