Adguard on macOS 的 https filter 不检查证书吊销状态

[parametrix]

最近尝试使用 adguard，为了获得匹敌浏览器插件的拦截效果就必须开启 https filter。但 adguard 作为 https client 并不完整，其中最严重的问题就是不检查证书的吊销状态，测试 https://revoked.badssl.com 会成功连接：

https://i.imgur.com/VrOueN8.jpg

。除此之外还支持一些陈旧的加密算法：

https://i.imgur.com/MMsyRkV.png

，自生成根证书时间太长。

实践中这些都不容易被利用，但总是削弱了安全性。考虑到这部分代码没有开源，说不清实践的质量到底怎么样，所以值不值得用大家就见仁见智了。

以上问题已经写邮件给开发团队，目前还没有收到回复。

[18x]

这个证书吊销域名好像有点问题啊，我用 Firefox chrome 测试都是受信任的

[parametrix]

@18x 不会吧，我这边 chrome 关掉 adguard 马上就有反应

[18x]

i.loli.net/2019/10/29/61c8puAC3GmIXdj.jpg

[18x]

i.loli.net/2019/10/29/fuI5awQT19cdPiy.jpg

[cydian]

手机 chrome 实测无吊销。

[parametrix]

@cydian
@18x



所以这个证书的确是吊销了，难不成 OCSP 服务器在国内也被墙了。。。

[MicrosoftAccount]

chrome 早就不在线检测证书吊销状态了。Windows 下可以通过注册表修改 chrome 的 policy 强制启用
注册表键值
paste.ubuntu.com/p/76qZyDwbmt

[parametrix]

@MicrosoftAccount

但是我这边 chrome 和 safari 都是默认设置，都能正确提示证书吊销。而且根据

https://chromium.googlesource.com/chromium/src/+/master/docs/security/faq.md

“ What's the story with certificate revocation?
Chrome's primary mechanism for checking the revocation status of HTTPS certificates is CRLsets. ”

chrome 仍然是检查证书吊销状态的。

[parametrix]

@MicrosoftAccount

而且这个证书的确在 CRL 里

[18x]

用楼主这个测试网站 revoked.badssl.com 手机上 chrome Firefox 都会信任
但我用另一个测试网站 revoked.grc.com Firefox 不信任 打开 adguard 以后 revoked.badssl.com 的证书会被替换，revoked.grc.com 的证书不会被替换

[parametrix]

@18x 是的，我能重复你 revoked.grc.com 这里的结果。

但是除了 revoked.badssl.com 会被替换，所有 https://www.digicert.com/digicert-root-certificates.htm 上的 revoked demo 都会被替换，比如

https://assured-id-root-g3-revoked.chain-demos.digicert.com/
https://assured-id-root-g2-revoked.chain-demos.digicert.com/
https://global-root-ca-revoked.chain-demos.digicert.com/

所以我还是觉得 adguard 不能正确检查证书吊销状态。

[18x]

@parametrix 你举例的这几个域名我测试都能在 Firefox 信任 可能 adguard 和 Firefox 用的一个列表

[parametrix]

@18x 而且都不检查证书引用的 crl 和 ocsp ...

[18x]

@parametrix 所以啊 这个 adguard 检查不检查证书也没什么区别，反正浏览器都是信任 就个 IE 比较认真去检查

[parametrix]

@18x
@MicrosoftAccount

已收到官方回复，谢谢