Door Erik van Straten: (ziet weinig risico in NL voor compromised root CAs ) Een m.i. veel groter risico dan bij het kopiejatten van private keys passend bij (root-, internediate- of leaf) certificaten bestaat bij ofwel BGP-hijacks ofwel bij dusdanige DNS-manipulatie dat zowel (Domain Validated) certificaatuitgevers als browser-gebruikers naar nepwebsite(s) worden gestuurd. "Dankzij" de normalisatie van 1FA DV-certificaten. Ik snap werkelijk niet waarom je dat denkt . Met de private key van een trusted root/intermediate kun je werkelijk vrijwel _iedere_ site (of : code, sommige intermediates waren code-signers) nagenoeg onmerkbaar spoofen . En voor relatief lange tijd. (vrijwel : sommige applicaties doen aan certificate pinning - controleren dat de signer of certificaat zelf is wie ze verwachten. Stuxnet werd zo ontdekt omdat Chrome dit controleerde voor de google suite . ) In het stuk dat ik wegknipte stel je eerst dat je MITM moet worden om er iets mee te doen door bijvoorveeld een DNS of BGP ...