On websites which are supposed to be secure (the URL begins with "https ://"), Firefox must verify that the certificate presented by the website is valid. If the certificate cannot be validated, Firefox will stop the connection to the website and show a error page instead.

This article explains why you might see SEC_ERROR_UNKNOWN_ISSUER, MOZILLA_PKIX_ERROR_MITM_DETECTED or ERROR_SELF_SIGNED_CERT error codes on an error page and how to troubleshoot it.

• For other error codes on the "Your connection is not secure" "Warning: Potential Security Risk Ahead" error page, see the What do the security warning codes mean? article.

Table of Contents

What does this error code mean?

During a secure connection, a website must provide a certificate issued by a trusted certificate authority to ensure that the user is connected to the intended target and the connection is encrypted. If you click the Advanced button on a "Your connection is not secure" "Warning: Potential Security Risk Ahead" error page and you see the error code SEC_ERROR_UNKNOWN_ISSUER or MOZILLA_PKIX_ERROR_MITM_DETECTED , it means that the provided certificate was issued by a certificate authority that is not known by Firefox and therefore cannot be trusted by default.

The error occurs on multiple secure sites

In case you get this problem on multiple unrelated HTTPS-sites, it indicates that something on your system or network is intercepting your connection and injecting certificates in a way that is not trusted by Firefox. The most common causes are security software scanning encrypted connections or malware listening in, replacing legitimate website certificates with their own. In particular, the error code MOZILLA_PKIX_ERROR_MITM_DETECTED indicates that Firefox is able to detect that the connection is intercepted.

Antivirus products

Third-party antivirus software can interfere with Firefox"s secure connections. We recommend uninstalling your third-party software and using the security software offered for Windows by Microsoft:

• Windows 7 - Microsoft Security Essentials
• Windows 8 and Windows 10 - Windows Defender (built-in)

If you do not want to uninstall your third-party software, you could try reinstalling it, which might trigger the software into placing its certificates into the Firefox trust store again.

Here are some alternative solutions you can try:

Avast/AVG

In Avast or AVG security products you can disable the interception of secure connections:

1. Open the dashboard of your Avast or AVG application.
2. Go to Menu and click on Settings > Protection > Core Shields .
3. Scroll down to the Configure shield settings section and click on Web Shield .
4. Uncheck the box next to Enable HTTPS Scanning and confirm this by clicking OK .

   In older versions of the product you"ll find the corresponding option when you go to Menu > Settings > Components and click Customize next to Web Shield

Bitdefender

In Bitdefender security products you can disable the interception of secure connections:

1. Open the dashboard of your Bitdefender application.
2. Go to Protection and in the Online Threat Prevention section click on Settings .
3. Toggle off the Encrypted Web Scan setting.

   In older versions of the product you can find the corresponding option labelled Scan SSL when you go to Modules > Web Protection

In Bitdefender Antivirus Free it"s not possible to control this setting. You can try to repair or remove the program instead when you"re having problems accessing secure websites.

For corporate Bitdefender products, please refer to this Bitdefender Support Center page .

Bullguard

In Bullguard security products you can disable the interception of secure connections on particular major websites like Google, Yahoo and Facebook:

1. Open the dashboard of your Bullguard application.
2. Click on Settings and enable the Advanced view on the top right of the panel.
3. Go to Antivirus > Safe browsing .
4. Uncheck the Show safe results option for those websites which are showing an error message.

ESET

In ESET security products you can try to disable and re-enable SSL/TLS protocol filtering or generally disable the interception of secure connections as described in ESET’s support article .

Kaspersky

Affected users of Kaspersky should upgrade to the most recent version of their security product, as Kaspersky 2019 and above contain mitigations for this problem. The Kaspersky Downloads page includes "update" links that will install the latest version free of charge for users with a current subscription.

Otherwise, you can also disable the interception of secure connections:

1. Open the dashboard of your Kaspersky application.
2. Click on Settings on the bottom-left.
3. Click Additional and then Network .
4. In the Encrypted connections scanning section check the Do not scan encrypted connections option and confirm this change.
5. Finally, reboot your system for the changes to take effect.

Family Safety settings in Windows accounts

In Microsoft Windows accounts protected by Family Safety settings, secure connections on popular websites like Google, Facebook and YouTube might be intercepted and their certificates replaced by a certificate issued by Microsoft in order to filter and record search activity.

Monitoring/filtering in corporate networks

Some traffic monitoring/filtering products used in corporate environments might intercept encrypted connections by replacing a website"s certificate with their own, at the same time possibly triggering errors on secure HTTPS-sites.

If you suspect this might be the case, please contact your IT department to ensure the correct configuration of Firefox to enable it working properly in such an environment, as the necessary certificate might have to be placed in the Firefox trust store first. More information for IT departments on how to go about this can be found in the Mozilla Wiki page CA:AddRootToFirefox .

Malware

Some forms of malware intercepting encrypted web traffic can cause this error message - refer to the article Troubleshoot Firefox issues caused by malware on how to deal with malware problems.

The error occurs on one particular site only

In case you get this problem on one particular site only, this type of error generally indicates that the web server is not configured properly. However, if you see this error on a legitimate major website like Google or Facebook or sites where financial transactions take place, you should continue with the .

Certificate issued by a authority belonging to Symantec

After a number of irregularities with certificates issued by Symantec root authorities came to light, browser vendors including Mozilla are gradually removing trust from these certificates in their products. In a first step, Firefox 60 will no longer trust certificates chaining up to Symantec root authorities (including all Symantec brands GeoTrust, RapidSSL, Thawte, and VeriSign) which were issued before 2016-06-01. In Firefox 63 this removal of trust will be extended to all Symantec certificates regardless of their issuing date.

MOZILLA_PKIX_ERROR_ADDITIONAL_POLICY_CONSTRAINT_FAILED will be the primary error but with some servers, you may see the error code SEC_ERROR_UNKNOWN_ISSUER instead. In any case, if you come across such a site you should contact the owner of the website to inform them of that problem. We strongly encourage operators of affected sites to take immediate action to replace these certificates.

For more information on this issue, see Mozilla"s blog post Distrust of Symantec TLS Certificates .

Missing intermediate certificate

On a site with a missing intermediate certificate you will see the following error description after you click on Advanced on the error page.

Во время работы в интернете и перехода на некоторые сайты, пользователи браузера Mozilla Firefox могут столкнуться с сообщением «Это соединение является недоверенным» и видят ошибку с кодом sec _ error _ unknown _ issuer . В этой статье я расскажу, что за ошибка sec_error_unknown_issuer, когда она возникает и как её исправить.

Сегодня многие сайты используют криптографический протокол SSL для шифрования передаваемых данных. Он позволяет использовать ассиметричную криптографию, симметричное шифрование и коды аутентификации, тем самым всячески препятствуя перехвату и утечке передающихся данных. Использование SSL позволило расширить возможности популярного протокола HTTP, приведя к созданию нового протокола HTTPS с поддержкой шифрования.

Для определения, используется ли данный сайт шифрование достаточно взглянуть в адресную строку браузера. В защищённых ресурсах адрес сайта выглядит не традиционным «http://», а «https://». Защищённое и шифрованное соединение вы можете сегодня встретить в социальных сетях (Facebook, Vkontakte, Одноклассники, Twitter и других), на множестве других популярных ресурсов – Google, Youtube, Wikipedia и множестве других.

Когда возникает ошибка sec_error_unknown_issuer

В нашем случае, использумый пользователем браузер Мозилла пытается проверить идентификатор сайта, дабы убедиться, что это именно тот сайт, который нужен, а не его суррогат. По каким-либо причинам сертификат сайта не может быть проверен, и пользователь получает ошибку с сообщением «Это соединение является недоверенным», «Сертификат издателя неизвестен» и «sec_error_unknown_issuer».

Проблема «Это соединение является недоверенны»

Кстати, если у вас ошибка sec_error_unknown_issuer возникла внезапно и начала происходить на множестве сайтов, проверьте дату и время на своём ПК. Вполне возможно, что вследствие разряда батарейки или по другим причинам данные о дате и времени сбилось, и по этой причине сайты выдают рассматриваемую мной ошибку.

Если же со временем всё нормально, тем не менее, ошибка появилась внезапно, и повторяется с завидной регулярностью, это значит, что кто-то или что-то перехватывает ваши соединения и внедряет свои собственные сертификаты. Это может говорить, как о взломе вашей ОС, и интернет соединения посторонним лицом по локальной сети, так и о присутствии на вашем компьютере различных вирусных программ.

Как исправить sec_error_unknown_issuer

Если вы заметили ошибку sec_error_unknown_issuer на одном конкретном сайте, то это значит, что сам сайт настроен неправильно, и виноват в этом его вебмастер. Если сайт не касается оборота финансовых средств, то вы можете добавить его в исключения, нажав на экране ошибки «Дополнительно», затем «Добавить исключение», а затем и «Подтвердить исключение».

Если же данная ошибка повторяется при входе на множество проверенных ресурсов, то, для начала, попробуйте просто перезагрузить ПК, а также проверить вашу систему надёжным антивирусом (напр., Dr.Web CureIt!, Trojan Remover, AVG и др.). Возможно, причиной возникновения ошибки sec_error_unknown_issuer является злокачественная программа, и надёжный антивирусный софт позволит вам легко исправить проблему.

Если перезагрузка и поиск антивирусов не помог, тогда необходимо вручную удалить файл с сертификатом безопасности Mozilla Firefox под названием cert 8. db . Этот файл может быть повреждён и по данной причине может возникать описанная мной ошибка.

Для удаления cert8.db нужно сделать следующее:

1. Зайдите в ваш Firefox, щёлкните на значок настроек (иконка с тремя горизонтальными линиями справа сверху);
2. Нажмите на кнопку с вопросительным знаком (Справка) в самом низу окна настроек;
3. Кликните на «Информация для решения проблемы»;
4. В сведеньях о приложении нажмите на «Показать папку» вашего профиля;
5. После того как откроется папка вернитесь в браузер, нажмите вновь на значок настроек, а затем нажмите на кнопку «Выход» внизу справа;
6. В открывшейся ранее папке найдите файл certdb и удалите его.
7. Вновь запустите ваш Firefox, в процессе запуска файл certdb будет автоматически создан заново.

Заключение

В большинстве случаев в рассматриваемой мной ошибке виноват повреждённый файл сертификата безопасности cert8.db, который необходимо удалить, позволив браузеру при запуске создать его новый вариант. Также причиной возникновения проблемы sec_error_unknown_issuer могут выступать различные злокачественные программы, которые необходимо безжалостно удалять с компьютера, и также сбой в установке даты-времени на ПК. Следование вышеприведённым советам позволит вам устранить проблемы с сертификатом безопасности, и в полной мере насладиться стабильной и надёжной работой вашего компьютера.

Mozilla: Ошибка sec_error_unknown_issuer (мысли вслух)

• IT-компании

Сегодня утром, после горячей чашечки шоколада кофе, в голову пришла идея сменить привычный мне браузер Chrome на Firefox. Причиной тому было скорее не кофе, а аномальная тормознутость моего браузера в последнее время. После первого запуска предательски ввожу в адресную строку «google.ru» и вижу следующую ошибку:

Браузер даже не дает права проигнорировать ошибку. По привычке первым делом взгляд упал на дату и время. Убедившись, что временные параметры на компьютере установлены верно, перешел на другой ресурс «yandex.ru»:

Тут дела обстояли чуть лучше, Firefox уже предлагает добавить сертификат в хранилище доверенных. Тут пришлось уже включать мозги, т.к. активно пользуюсь сервисом Яндекс.Деньги и любые утечки для меня существенны. Первым делом решил проверить, что именно браузеру не нравится в сертификате:

Нет доверия стороне выдавшей сертификат. И такая картина на всех ресурсах, где используется безопасное соединение HTTPS.
Много немного теории:
Для использования шифрованного канала связи, ваш браузер использует протокол SSL (или TLS) (HTTPS пользуется им), который, в свою очередь, использует сертификат проверки подлинности. Этот сертификат хранит в себе информацию как для шифрования данных, так и для идентификации WEB-сервера, к которому вы обращаетесь. Помимо всей прочей информации, хранимой в сертификате (тип шифрования, альтернативные имена и т.д.), нас интересуют открытый ключ, который решает проблему №1 - шифрование в открытых сетях и информация о центре, выдавшем этот сертификат, которая решает проблему №2 - доверие к открытому ключу.

Опишу на примерах.

Сценарий 1:

1. Сервис Яндекс хочет организовать безопасный канал связи со своими пользователями и генерирует для этого пару ключей (открытый и закрытый).
2. Я, как клиент сервиса Яндекс, получаю от него открытый ключ и шифрую им все свои данные. При этом я уверен, что прочитать данные сможет только владелец закрытого ключа, в нашем случае владелец - сервис Яндекс.
Этим самым сервис Яндекс решает проблему шифрования в открытых сетях.

А что если некий троянский вирус встанет между вами и сервисом Яндекс (к примеру, в роли сквозного прокси-сервера)…???

Сценарий 2:

1. Троян получает от сервиса Яндекс открытый ключ.
2. Троян генерирует пару своих ключей и передает открытую часть вам от имени сервиса Яндекс.
3. Все сообщения, адресованные от вас сервису Яндекс, перехватываются и дешифруются трояном, а троян в свою очередь шифрует эти данные ключом от Яндекс и передает их ему же. Вот тут и возникает проблема №2, а именно, проблема доверия к открытому ключу .

Данная проблема решается третьим лицом, которому доверяет, как сервис Яндекс, так и клиент. В данном случае запись указывала на AtomPark Software Inc, которая выдала тот самый сертификат подлинности сервису Яндекс.

Вернемся к моему сертификату и удостоверимся, что мы доверяем третьему лицу. В поле Общее имя (CN) группы «кем выдано» стоит запись «AtomPark Software Inc». Первый признак доверия этому центру сертификации – наличие его корневого сертификата в хранилище доверительных центров. В Mozille этот список можно открыть так: Настройка-> Дополнительно-> Сертификаты-> Просмотреть сертификаты-> Центры сертификации. По имени нашел сертификат:

На первый взгляд все в порядке. Решил сверить отпечатки SHA1 сертификатов. Полез в иерархию и увидел следующее:

В иерархии сертификатов корневым сертификатом является сам сертификат (самоподписанный).
Чтобы окончательно убедиться, что это недействительный сертификат, с браузера Chrome выполнил Online проверку актуального сертификата sslshopper.com и сверил серийные номера:

Теперь было необходимо найти этот троян. В настройках прокси было все чисто, а антивирус не дал никаких результатов. Полез в мониторинг сети и заметил некое приложение, которое проявляло активность всякий раз, когда я обращался к веб сервисам:

Первая же ссылка в интернете раскрыла все карты. Оказалось, что недавно наше руководство внесло некоторые поправки в политику защиты конфиденциальной информации. Было решено установить всему персоналу программу StaffCop, которая осуществляет мониторинг деятельности сотрудников. После отключения данной службы, решились не только проблемы с сертификатами, но и с моим основным браузером Chrome. Несмотря на большое описание, фактически задача была решена очень быстро, и я надеюсь, что последовательность моих действий поможет кому-либо.

А напоследок, то, как должны выглядеть «правильные» сертификаты:

Сейчас у людей есть выбор – какой именно браузер использовать для своих целей. И многие пользователи выбирают Mozilla Firefox. Да – многих устраивает именно этот вариант, но и он, к сожалению, не исключает возникновения разнообразных сбоев и неприятностей. Например, именно его пользователи иногда жалуются на код ошибки SEC ERROR UNKNOWN ISSUER.

Естественно, изначально перед лечением стоит понять, что именно приводит к возникновению подобного сообщения.

Первопричины возникновения

Итак, что означает SEC ERROR UNKNOWN ISSUER:

Юзер пытается перейти на не самый безопасный сайт с точки зрения автоматической проверки, и система как бы сообщает ему об этом, блокирую подобное соединение.

• Возможно, на ресурсе полностью отсутствуют необходимые сертификаты или они написаны, как говорится «на коленке», что также вызывает отрицательную реакцию со стороны системы.
• Попытку перехода на веб-ресурс блокирует установленный на компьютере антивирус.
• Вполне вероятно, что получил повреждение специальный файл, отвечающий за хранение данных сертификатов. А именно – cert8.db.

То есть, исходя из выше перечисленного, можно найти эффективный способ устранения конфликтной ситуации.

Методика решения

Существует несколько способов того, как исправить «SEC ERROR UNKNOWN ISSUER»:

1. Первый из них подразумевает временное отключение так называемого SSL-сканирования. Для осуществления подобного, требуется зайти в настройки установленного антивирусного ПО и деактивировать данный инструмент.
2. Исправление ситуации, связанной с возможно поврежденным файлом. Для этого требуется в рабочем окне Мазилы задействовать иконку в виде трех черточек, затем – кликнуть на вопросительный знак, который можно увидеть снизу. Выбрать «Информация для решения проблем», после чего – «Показать папку». Дальше обязательно следует оставить это окошко открытом, но закрыть саму браузерскую программу. В списке обнаружить cert8.db, с помощью ПКМ вызвать допменю, в котором задействовать команду удаления. Остается заново активировать браузер, чтобы проверить итоговый результат.
3. Следующий вариант – принять на себя всю ответственность. Для этого требуется после появления такого сообщения нажать на «Я понимаю риск», перейти в «добавить исключение» и подтвердить сделанный выбор с помощью соответствующего варианта действий.

Кстати, иногда причиной такого случая может стать и воздействие одной из вредоносных программ на операционную систему. Поэтому не стоит забывать и о том, что у антивирусника есть возможности не только для блокировки тех или иных ресурсов, но и для анализа операционной системы на заражения и лечения ее при обнаружении таковых. Конечно, если версия ПО актуальная.

Иногда, переходя на страницы сайтов или интернет-сервисов, пользователи Mozilla FireFox, вместо нужной им страницы, стали видеть предупреждение: «Это соединение является не доверенным» или «Сертификату нет доверия, так как сертификат его издателя неизвестен. (Код ошибки: SEC_ERROR_UNKNOWN_ISSUER) ». Что нужно делать в таком случае и как устранить ошибку вы можете прочитать в этой статье.

Особенно часто этим стали “грешить” последние версии популярного браузера.

Что это за ошибка?

Во время перехода на страничку web-ресурса происходит обмен данными между клиентом (это в данном случае Firefox) и сервером. Некоторые сайты используют протоколы шифрования, позволяющие сделать подключение более безопасным. Одним из таких протоколов является HTTPS. Данные передаются по этому протоколу, «упакованные» в криптографический протокол SSL или TLS.

Если в одном из криптографических протоколов было обнаружено несоответствие сертификатов безопасности, браузер, пытаясь защитить ваше устройство от небезопасного подключения, уведомит вас кодом ошибки «SEC_ERROR_UNKNOWN_ISSUER ».

Особенно часто такое происходит при подключении в web-интерфейсам различного коммуникационного оборудования по протоколу HTTPS.

Итак, если вы увидели вместо сайта вот такое вот окошко и не знаете, что делать дальше, эта статья для вас.

Причины возникновения

Почему вы получили предупреждение? Причин может быть несколько:

1. Сайт небезопасен для посетителей, так как имеет неизвестный сертификат (возможно заражен вирусами или в редких случаях является носителем вирусной рекламы).
2. Сертификат сайта защищает данные от прослушки, но является самоподписанным, поэтому его нет в базе доверенных. Например потому, что компания владелец сайта не хочет платить за получение и подтверждение сертификата таким компаниям как Thawte, Trustwave, Comodo, Geotrust и т.д..
3. Сертификат сайта является доверенным, но браузер считает иначе из-за повреждений файла cert8.db (хранилища идентификаторов).
4. Сертификат является доверенным, но установленный антивирус не может идентифицировать его в своей базе данных (или включено сканирование SSL).

Но мы-то знаем, что сайт нам известен, все на нем хорошо, значит добавляем в исключения и больше не вспоминаем об этой ошибке.

Решение 1. Добавляем сайт в исключения

А вот что делать, если вы вошли на сайт и видите вот такое вот предупреждение?

Кнопки нет. А на сайт нам очень надо попасть. Когда это происходит?

1. Например, когда FireFox «решил», что лучше знает и не станет даже предлагать добавлять сайт в исключения.
2. Повредилось локальное хранилище сертификатов – cert8.db
3. Антивирус “не пущает”

Для устранения затруднений по пп 1) и 2) существует довольно жесткий, но 100% работающий метод, а именно

Решение 2. Удаление поврежденного файла cert8.db

Файл хранилища идентификаторов сертификатов мог повредится и содержать некорректные сведения о доверенных сертификатах. Этот файл следует удалить, чтобы вновь установить безопасное соединение и беспрепятственно войти на сайт:

Файл хранится в вашем профиле FireFox.

Вот самый простой способ добраться до профиля.

Совет! Чтобы быстро перейти к указанному файлу, нажмите комбинацию клавиш Win+R и выполните команду CD %APPDATA%\Mozilla\Firefox\Profiles\ .Далее перейдите в папку, в которой будет cert8.db.

Если, после обновления вы снова получили ошибку SEC_ERROR_UNKNOWN_ISSUER, добавьте сайт в исключения как было показано в Решении 1 .

«Экзотика». Нас не пускает на сайт анти-вирус. Отключение проверки SSL

Если же вы сталкиваетесь с проблемой повсеместно и даже на крупных веб-сервисах (google.com, youtube.com, facebook.com и т.д.), вероятно что-то перехватывает сертификаты для прослушки или проверки, а Mozilla Firefox это не нравится. Так вести могут себя вирусы и антивирусы соответственно. Если же вирусов на ПК не обнаружено, но установлен антивирус, отключите проверку HTTPS и SSL протоколов в антивирусе.

Файл со списком исключений сертификатов

Выглядит это примерно так. Обратите внимание на первые две строки в этом файле. Файл не рекомендуется редактировать самостоятельно. И не пробуйте. Проверено. FireFox этого «не любит»

# PSM Certificate Override Settings file
# This is a generated file! Do not edit.

Список сертфикатов, которые вы добавили в исключение можно посмотреть и через грфический интерфейс. Откройте в Firefox страницу с настройками безопасности (адрес about:preferences#privacy ). Промотайте страницу в разделе Сертифкатов (Certificates) и нажмите на кнопку Просмотр сертфикатов (View Certificates).

В окне управления сертфикатами перейдите на вкладку Сервера (Servers). В списке будут содержаться список исключений для сайтов и сертифкатов.


Прямо отсюда можно добавить в исключение новый сертификат, нажав кнопку Добавить исключение (Add exception).