Door Anoniem: Daarbij kunnen gebruikers per domein aangeven welke root CA's voor een domein een certificaat mogen uitgeven. Bij het opzetten van de verbinding, wordt de door de gebruiker aangemaakte lijst van ca's voor het domein gecontroleerd. Goed dat ze er over nadenken maar de vraag luidt of dit wel zo'n goed idee is. Ik zie binnenkort malware voorbij komen dat deze lijst aanpast en een fake CA als default in stelt. Niet om negatief te wezen maar een man in de middle is zometeen een koud kunstje. Zoals Evans ook zegt, is dit niet de ultieme oplossing. Het is een stap in het proces om zaken veiliger te maken. Het pinnen van een CA is een redelijke stap, maar het pinnen van de leaf is beter. Al zal dat, zoals hij zegt, niet voor iedereen weggelegd zijn. Want het klinkt wel leuk om de leaf te pinnen, maar de meeste certificaten worden maar voor een beperkte tijd uitgegeven. Dan werkt het na het verlopen van die termijn niet meer. Zijn schoonmoeder zal dat niet snappen. Die zal hooguit de CA pinnen. ...