История изменений

Тебе подсовывают не доверенный корневой сертификат CA.

Корневыми сертификатами подписывают все прочие сертефикаты. Открываешь ты какой-нибудь сайт по HTTPS и тебе возвращается сертификат сайта, бразуер о нем не знает, но сертификат сайта подписан certificate authority (CA) который есть в списке доверенных у браузера, и потому сертификат сайта считается доверенным.

Если указать браузеру что какой-то левый CA доверенный, то все сертификаты подписанные им будут считаться доверенными. А значит открывая какой-нибудь youtube.com промежуточный шлюз может перехватить запрос и отправить его на прозрачный прокси с которым браузер откроет HTTPS соединение. Бразуер никакого предупреждения не покажет, ведь сертефикат подписан CA из доверенного списка, только это соединение не с сайтом а с прокси. И это позволяет выполнить MITM атаку, прокси сам откроет youtube.com и отправит содержимое ответа твоему бразуеру, но теперь весь проходящий тарфик становится прозрачным для прокси. Прокси может его подменить, модифицировать или просто логировать.

А еще по закону яровой весь трафик сохраняется, а значит с подложным CA он может быть расшифрован. Ведь сертификат сайта это публичный ключ сайта, с помощью него шифруется сгенерированный ключ сессии. Если у тебя сертификат подложен прокси то его приватный ключ позволит дешифровать ключ сессии, посредством которого можно дешифровать весь сохраненный трафик.

Потому разница такая, google может дешифровать свой трафик, потому как они знают приватные ключи своих серетфикатов. ЦРУ может дешифровать твой трафик к google если они завладели приватными ключами сертификатов google. ЦРУ может дешифровать любой трафик отправляющийся через шлюзы подконтрольные США посредством MITM атаки т.е. подменой сертификата. Но они не могут дешифровать соединение из России с сайтом в России если они не имеют доступ к шлюзам и провайдеру. А вот правительство РФ имеет полный доступ к шлюзам и провайдерам в России, потому для россиян они могут проксировать весь трафик из России, делать его прозрачным для дальнейшего анализа или подмены.

Тебе подсовывают не доверенный корневой сертификат CA.

Корневыми сертификатами подписывают все прочие сертефикаты. Открываешь ты какой-нибудь сайт по HTTPS и тебе возвращается сертификат сайта, бразуер о нем не знает, но сертификат сайта подписан certificate authority (CA) который есть в списке доверенных у браузера, и потому сертификат сайта считается доверенным.

Если указать браузеру что какой-то левый CA доверенный, то все сертификаты подписанные им будут считаться доверенными. А значит открывая какой-нибудь youtube.com промежуточный шлюз может перехватить запрос и отправить его на прозрачный прокси с которым браузер откроет HTTPS соединение. Бразуер никакого предупреждения не покажет, ведь сертефикат подписан CA из доверенного списка, только это соединение не с сайтом а с прокси. И это позволяет выполнить MITM атаку, прокси сам откроет youtube.com и отправит содержимое ответа твоему бразуеру, но теперь весь проходящий тарфик становится прозрачным для прокси. Прокси может его подменить, модифицировать или просто логировать.

А еще по закону яровой весь трафик сохраняется, а значит с подложным CA он может быть расшифрован. Ведь сертификат сайта это публичный ключ сайта, с помощью него шифруется сгенерированный ключ сессии. Если у тебя сертификат подложен прокси то его приватный ключ позволит дешифровать ключ сессии, посредством которого можно дешифровать весь сохраненный трафик.

Потому разница такая, google может дешифровать свой трафик, потому как они знают приватные ключи своих серетфикатов. ЦРУ может дешифровать твой трафик к google если они завладели приватными ключами сертификатов google. ЦРУ может дешифровать любой трафик отправляющийся через шлюзы подконтрольные США посредством MITM атаки т.е. подменой сертификата. Но они не могут дешифровать соединение из России с сайтом в России если они не имеют доступ к шлюзам и провайдеру. А вот наше покровительство имеет полный доступ к шлюзам и провайдерам в России, потому для россиян они могут проксировать весь трафик из России, делать его прозрачным для дальнейшего анализа или подмены.