Door Named: Waarom vertrouwen we überhaupt nog (honderden) third-party CA's? De enige waarheid is DNS, vanaf de . tot en met de (quad) A records. (Zelfs de CA's gebruiken dit om jouw server een DV certificaatje te geven...) Dus als het puur om TLS opzetten gaat ben ik van mening dat je geen CA's nodig zou moeten hebben. Alles kan gewoon via DNS(Sec) lopen, waardoor je geen risico meer loopt bij een compromised/rogue CA. Ik denk dat dit een risico is aangezien er geopolitiek gezien steeds meer spanning en conflicten zijn. Kunnen wij bijvoorbeeld nog wel Chinese CA's vertrouwen? En wat dan met het omgekeerde? Of bij oorlog? Een vijand heeft honderden doelen om een certificaat van te krijgen en kan dan AL jouw TLS verkeer onderscheppen. Dit is in mijn ogen een onacceptabel risico dat gewoon opgelost moet worden. DNS is een slecht idee. Het is te makkelijk om DNS verkeer te onderscheppen en te misbruiken, daarom zijn enkel DV certificaten op basis van DNS en niet de EV certificaten. Ik ben het met je ...