Читая книгу Стивена Леви «Крипто» в моей голове созрел вопрос, на который я сам пока не могу ответить, надеюсь мне ответят местные параноики.
Представим простую ситуацию, мы вбиваем в браузере url https://gmail.com, забиваем логин/пароль, а наша параноя спит. Мы считаем, что при атаке man in the middle наш браузер честно нас предупредит о том, что сертификат не соответствует домену, срокам, удостоверяющим центрам и пр. И тут возникает вопрос, а что если этот самый «человекпосередине» завладеет сертом для домена gmail.com? И тут необязательно тырить их секретный ключ, ведь достаточно заказать серт на нужный домен у другого, не отличающегося ответственностью, CA.
Беглый поиск по интернету выдал следующую новость: http://www.sslshopper.com/article-ssl-certificate-for-mozilla.com-issued-with...
PS Пример для gmail.com утрированный и вряд ли кто выдаст на него серт без подтверждения, но на тот же LOR есть все шансы
