In reactie op Vandaag, 08:29 door Bitwiper : Dan heb je het waarschijnlijk over een browser die dankzij hsts herkent hoe het certificaat er uit moet zien. Maar dit is niet het geval als je: - de site nog niet eerder hebt bezocht - de periode gedurende welke de browser dit onthoudt is verstreken sinds laatste bezoek. (meestal een jaar) - er een volledige backup is teruggezet waardoor er oude hsts informatie in de browser staat. - je geen virusscanner hebt die dit herkent Natuurlijk, als de versleutelde verbinding met de juiste site eenmaal is gemaakt, kom een aanvaller er normaalgesproken niet meer tussen. Maar hoe zit het als de eerste syn-request de bedoelde server al niet bereikt, maar meteen al wordt omgeleid naar een mitm-server met https (en een ander certificaat), en er staat geen hsts-informatie (meer) in je browser. Dit is immers wat er wel eens kan gebeuren als bijv. je router is gehackt en dns-server van je router is aangepast. Is er dan tegenwoordig standaard nog iets anders wat je beschermd? En ...