Blijkbaar bestaan er helaas toch nog heel was misverstanden inzake certificaten en encryptie. Dit is helemaal geen "race to the bottom" of een slecht plan. Certificaten zijn inderdaad niet vereist om aan encryptie te doen, maar wel gewenst. Certificaten zorgen voor een identificatie en authenticatie van een, of beide, partijen, zodat je weet dat je een versleutelde verbinding opzet met de juiste partij. Oportunistic encryption is leuk en wel, maar als je verder geen maateregelen neemt, kan je geen MITM attack detecteren. Binnen HTTPS is daarom het identificatie en encryptie deel onlosmakkelijk met elkaar verbonden. Encryptie is niet mogelijk zonder authenticatie van de server. De client hoeft niet noodzakelijk geauthenticeerd te worden, en ook server authenticatie zonder encryptie is mogelijk. Dit is ook een ommezwaai naar kortere termijn certificaten. Doorgaans werden certificaten voor 1-3 jaar toegekend door een CA, en het lijkt me straf dat een CA een garantie kan geven dat in deze periode het ...