У хорма - avast

у драгона (см. скрин).

Еще такой вопрос: если у сайта самоподписанный сертификат, то он обеспечивает такую же защиту как и платный ?

Если клиент и сервер общаются по HTTPS — протоколу, поддерживающему шифрование — тоже может быть проведена атака «человек посередине». При таком виде соединения используется TLS или SSL для шифрования запросов, что, казалось бы, делает канал защищённым от сниффинга и MITM-атак. Атакующий может для каждого TCP-соединения создать две независимые SSL-сессии. Клиент устанавливает SSL-соединение с атакующим, тот в свою очередь создает соединение с сервером. Браузер в таких случаях обычно предупреждает о том, что сертификат не подписан доверенным центром сертификации, но рядовые пользователи устаревших браузеров легко обходят данное предупреждение. К тому же, у злоумышленника может оказаться сертификат, подписанный корневым центром сертификации (например, такие сертификаты иногда используются для DLP[5]) и не создающий предупреждений. Кроме того, существует ряд атак на HTTPS.[6] Таким образом, HTTPS протокол нельзя считать защищенным от MITM-атак у рядовых пользователей.Существует ряд мер, предотвращающих часть атак MITM на https сайты, в частности, HSTS, который запрещает использовать http соединение с сайтов, Certificate pinning и HTTP Public Key Pinning, запрещающие подмену сертификата.

Где используется HSTS и как его задействовать ?

Или платный тоже могут подменить (из текста выше я так понял что могут)

На веб сервере, статический список есть в браузерах. Пользователю делать ничего не нужно.

В общем такие атаки возможны и при использовании подписанного доверенным СА сертификата

А самоподписанный сертификат как то облегчает проведение mitm (вообщем в чем отличие от mitm с платным серт.)?

Как то можно узнать о его наличии при подключении с сайту ?

в случае с самоподписанным тоже есть предупреждение, но пользователь может продолжить работу с сайтом при mitm т.к. и раньше было предупреждение (получается чисто уязвимость со стороны пользователя). Верно ?

Кстати, добавить серт. в доверенные не все смогут. Его же еще нужно где то взять.