Kortom, alleen als de aanvaller over een certificaat voor www.security.nl beschikt dat door jouw browser wordt vertrouwd, en die aanvaller over de bijbehorende private key beschikt, komt de https verbinding met die aanvaller zonder certificaatfoutmelding tot stand. Een browser vertrouwd geen certificaten. Een browser vertrouwd certificaatuitgevers. Als het je lukt om bij een door browsers vertrouwde certificaatuitgever een certificaat te bestellen op naam van www.security.nl kan men dit gebruiken voor een MITM aanval. Ik zei net (19:55 door Anoniem) dat dit zelfs bij een "superveilig" EV-certificaat al eens is gebeurd, gelukkig als test en niet door iemand met kwade bedoelingen. Dan nog kun je je afvragen hoeveel nono's erin trappen als er een levensgrote waarschuwing komt met de tekst "u wilt waarschijnlijk naar mijn.ing.nl en niet naar mijn lNG.nl" o.i.d. Mensen kunnen in de war raken van domeinnamen die erg op elkaar lijken en per ongeluk doorgaan op de verkeerde url. Let gewoon op de fingerprint van ...