圧力下にある政府機関による攻撃ポイントとしてCAを使用する可能性
私はいつも、私たちが使用するCAのものの背後にある信頼のモデルについて心配していました。まあ、私たちのほとんどにとって、彼らは確かな経験の豊富な信頼できる組織であるため、彼らを信頼することは問題ありません。ブラウザは何百ものCAとそのサブCAを信頼しており、国際的な管轄下にあるCAセンターを私は知りません（ご存知の場合は、私にも教えてください）。政府によって「後援」され、一部のDPIシステムに組み込まれ、すぐに使用できるsubCAの秘密鍵リークの可能性は98,74621％であると私は信じています。
MiTM攻撃を1回使用するだけで、必要な通信を復号化できます。 SSL証明書の発行者を1000回チェックするという妄想的な人はいないと思います。
そして、これは私がここでこの記事を見つけるまでの神話です（それはロシア語です）： http://blogerator.ru/page/snjatye-s-kanala-bezopasnost-fsb-https-soedinenij-sud-vzlom -facebook-proslushka-sorm
彼のパスワードを取得する方法は他にもありましたが、私はFSS RFによるMiTM攻撃を（ある程度）信じています。
それで...政府の権力の悪用とブラウザの開発者の信頼の公に報告された事例はありますか？そして、可能な対策は何ですか？
私の頭に浮かんだ唯一のことは、すべてのCAを破棄することです。そのため、警告が表示されるたびに、またはこの変更を監視するブラウザーの拡張機能を作成します。
ところで、ブラウザは（だけでなく）インストール時に信頼できるCAを選択できるようにする必要があると思います。できれば、会社とそのサーバーの物理的および法的な場所に基づいてください。
スノーデン以前、私はこの質問を「アルミホイルハット」カテゴリにあるとして却下したでしょう。
残念ながら、NSAの蔓延する違法行為（GCHQ、CSISなどの「ファイブアイズ」ジュニアパートナー、およびオーストラリアとニュージーランドの不気味な機関が最近自称しているものは言うまでもありません）は、確かに厄介な問題を提起します。
具体的な可能性はたくさんありますが、そのうちの2つだけを考えてみましょう。
（1。）NSAは、米国愛国者法および他のさまざまな同様の法律を主張することにより、CAにルート秘密暗号化と署名鍵の送金を要求するだけです。これにより、もちろん100が許可されます。チェーン内のダウンストリーム証明書に関して、NSAによる％効果的なマスカレード（下位の証明書はルートCAの正当な秘密鍵によって署名されているように見えるため）。
（2。）NSAは、CAのルートネットワークアーキテクチャの前に、ある種のSSLインターセプト（MiTM）ボックス（すでに所有していることがよく知られています）をインストールすることもできます。 （1.）と同じ機能のいくつかを許可します（ただし、柔軟性は低くなります）。
「証明書ピンニング」は、ここでのリスクの一部を軽減できますが、もちろん、シナリオ（1.）の場合はほとんど役に立ちません。
残念ながら、これが実際に示しているのは、よく知られているセキュリティ格言の真実です。「攻撃者（この場合は「NoSuch Agency」）がボックスまたはネットワークに物理的にアクセスできる場合、どのようなセキュリティ対策を講じてもかまいません。あなたは引き受けるかもしれません;あなたは何らかの方法で「pwned」されるでしょう」。
長期的には、中途半端に有効な緩和手順は、次のような認証局のみを使用することだと思います。
（3.）「ファイブアイズ」諸国の物理的管轄外（および政治システムがプライバシーを尊重することを信頼できない他の国（ロシア、中国、イラン、ドイツ、イスラエル、インド、パキスタンなど））に位置する。心に春）;そして、
（4.）十分に洗練されたITスタッフ配置環境を備えた国（またはその他の環境）にあり、（3。）で指定された国で働く州の諜報機関によるSubversionの試みに対して可能な限り影響を受けないようにします。上記;そして
（5.）同じ諜報機関の側でSubversionに適度に耐性があるネットワーク環境にあります。
ここでの問題は、上記の（3.）と（5.）の交点から生じるベン図が、非常に限られた数の物理的な管轄区域になる可能性があるという事実は別として、（スイス、多分？私は言ったでしょう？パイレーツベイとアサンジの大失敗を除いて、「スイス」）、この種の設定にあるCAは、インターネット上の信頼を破壊する「そのような機関なし」とそのパートナーにとって魅力的なターゲットになります。
CAは、その性質上、この点で単一障害点であり、NSAのような非常にリソースが豊富で悪意のあるエンティティが、「必要なものは何でも」支出することは合理的です（NSAの予算は、CAの秘密鍵の整合性に依存すると思われるすべての「保護された」トラフィックを破壊できるようにするために、すでに多くの小国の州予算全体の数倍になっています。
だからあなたはそれを持っています。特に良いニュースではありませんが、IMOは、現在の状況を正直に説明しています。マイケル・ヘイデン、キース・アレクサンダー、ジェームズ・クラッパー、ジョージ・ブッシュ、バラク・オバマに感謝と感謝のすべてのカードを送ってください（彼らのジュニア英国と他の友人と一緒に乗車してください）。