(Ik ben iatomory, meer even niet ingelogd). Zoals Anoniem 04:32 schrijft is STARTTLS geen volledige oplossing. Laten we daarbij niet vergeten dat het passief afluisteren aan de orde van de dag is, in tegenstelling tot het uitvoeren van een MiTM aanval. Vanuit dat perspectief bied het gebruik van STARTTLS zonder validatie wel degelijk een meerwaarde, ik wil dus ook zeker niet stellen dat zonder validatie het helemaal geen nut heeft: het afdwingen van versleuteling alleen bied wel degelijk meer beveiliging dan zonder. Door Anoniem:Ik gebruik natuurlijk ook DNSSEC, CAA en DANE. CAA pint de CA (Certificate Authority) vast, DANE pint het certifcaat zelf vast en DNSSEC zorgt voor de beveiliging van DNS. Dat is voldoende veilig. CAA speelt alleen een rol bij certificaat uitgifte, niet meer als een certificaat al in gebruik is. Een rogue CA aanval kan er dus niet mee voorkomen worden. Je kan daarom niet spreken van 'CA pinning' zoals dat bij DANE en het niet meer gebruikte HPKP wel kan. Partijen als Google en ...