30-11-2015, 13:50 door Anoniem: Door Erik van Straten: En tevens nog een reden om domain-validated en "Let's Encrypt" certificaten niet te vertrouwen.Zou je dit willen toelichten? Waarom zou deze aanval die het versturen van gespoofte TCP-pakketen mogelijk maakt, ervoor zorgen dat DV certificaten ook maar iets minder te vertrouwen zijn dan het geval zou zijn zonder het bestaan van deze aanval? Neem als voorbeeld www.example.com. Domain validated betekent in de praktijk dat de rechthebbende eigenaar, maar dit kan ook een aanvaller zijn, op een specifiek moment toegang moet hebben tot een e-mail adres van iets dat lijkt op "admin" bij example.com om een geldig DV certificaat voor dat domein, of een subdomein daarvan, te kunnen krijgen. In elk geval de volgende aanvalsscenario's zijn denkbaar (het zouden er best meer kunnen zijn): 1) Het lukt de aanvaller om een e-mail account te maken bij example.com dat klinkt als "admin" (maar het zou me niet verbazen als bij sommige CSP's (Certificate Service Providers) ...