CA証明書はブラウザレベルでスプーフィングできますか？
証明書をブラウザレベルでスプーフィングできますか？つまり、URLバーのLOCK画像をクリックすると、VeriSignからの有効な証明書が表示されますが、攻撃者はその情報を偽装しました。彼らがどうやってそれをすることができるのか私にはわかりません、そしてそれは私が具体的に求めていることです。彼らはECMAScriptを使用できますか？彼らはどういうわけかその情報を更新することができるCでブラウザ拡張機能またはプラグインを書くことができますか？
さて、modifyブラウザの場合、基本的にユーザーのオペレーティングシステムを変更したことになります。その場合、キーロガーまたはパスワードグラバーを直接インストールすることもできます。
もちろん、変更されていないブラウザでのそのロックシンボルの機能は、サイトの暗号化セキュリティを示すことです。したがって、ブラウザが信頼するCAに一致する有効な証明書を提供する以外に、Webサイトからロックシンボルを操作することはできません。それはもちろん、バグやバックドアは別としてですが、率直に言って、現代のブラウザには、そのシンボルを偽造できるような露骨なセキュリティホールはないと思います。
技術的には-はい、できます。ただし、いくつかの考えがあります。
1）Webページコードはブラウザのアドレスバーと相互作用できません。
2）攻撃者may Webブラウザーがそのような相互作用のためのインターフェースを提供する場合、プラグイン/拡張機能を作成します。
2.1）攻撃者は、ブラウザのバイナリモジュールを偽装して、ブラウザの動作を変更する可能性があります。ただし、これにはソースコードの知識とバイナリを上書きする機能が必要です。
実際には、それは非常にありそうもないことです。この攻撃ベクトルは、攻撃者がすでにコンピュータにアクセスしていることを前提としています。この場合、彼はそのような複雑な操作を行う必要はありません。不正なルート証明書をトラストストアに挿入し、それを使用してユーザーを偽装する方が簡単です。