Door blondie1970: Ik denk dat het voor de grote drieletterige Amerikaanse organisaties allemaal veel eenvoudiger is: een achterdeur bij de Verisigns van de wereld en ze krijgen het betreffende (of hebben ze gewoon alle(...) ) server certificaat, reversed proxy en ze kunnen gewoon in de stroom meekijken. Niet heel moeilijk, goed schaalbaar, ... wie houdt ze tegen? Dat heeft geen zin. Met het certificaat heb je nog steeds de prive sleutel niet en kan je dus niet meeluisteren. Als je een certificaat aanvraagt moet je er wel opletten dat je zelf de sleutel genereert, maar dat is meestal wel het geval. In het Certificate Signing Request die je naar een Certificate Authority stuurt staat alleen je publieke sleutel en niet je prive sleutel. Wel kan een Certificate Authority een certificaat op de zelfde naam van een klant een tweede certificaat aanmaken waarmee de ontvanger van dat certificaat een man in the middle attack uit kan voeren. Dat is al eens gebeurt, bijvoorbeeld bij het diginotar debacle. Maar dat ...