Без подмены сертификата вы не можете определить что там браузеры качают по https, и не можете это заблокировать. Проще уж поставить хук на FS и запретить их сохранять. Хотя продвинутому пользователю это не особо помешает, там же внутри просто кусок текста.
Если сертификат подменили, то
DPI вам в помощь.