Door _R0N_: Het is te makkelijk om DNS verkeer te onderscheppen en te misbruiken, daarom zijn enkel DV certificaten op basis van DNS en niet de EV certificaten. Ja nee, je moet dan ook niet op ruwe AitM-bare DNS vertrouwen, dat is als onveilig als maar kan... Een vereiste is natuurlijk dat je van DNSSEC gebruikmaakt, ICANN is niet voor niets bezig om dat uit te rollen... Trouwens, OV en EV certificaten hebben tegenwoordig praktisch geen toegevoegde waarde meer. Door _R0N_: Ik ben het met je eens dat je niet elke CA moet vertrouwen al ga ik niet zover om te zeggen dat Chinese CA's niet betrouwbaar zijn, ik denk dat de Amerikaanse op z'n minst net zo fout zijn. Dat was maar een voorbeeld, dankzij DigiNotar weten we allemaal dat de fysieke locatie of affiliatie geen garanties bieden. Maar als het bijvoorbeeld op WW3 aankomt en China tegenover de EU komt te staan, dan ga ik ervan uit dat we ten minste binnen de EU alle Chineze CA's uit de root store willen halen. China zou hoogstwaarschijnlijk hetzelfde doen ...