Door Erik van Straten: Bijna 9 jaar geleden schreef Peter Eckersley van EFF in [1] onder meer: Bij het aanbevolen en gangbare gebruik van Forward Secrecy (middels Diffie-Hellman) bij https en andere TLS-verbindingen is het enige doel van een TLS servercertificaat dat je zeker weet dat je verbinding hebt met de juiste server, en niet met een AitM. Bij DV-certificaten is die zekerheid het kleinst, juist omdat het certificaat-uitgifteproces kwetsbaar is voor AitM aanvallen; onbedoeld kunnen servers van aanvallers een certificaat verkrijgen waar zij helemaal geen recht op hebben. Uitsluitend als servergegevens in DNS kloppen, de certificaatverstrekker via het DNS-protocol het juiste IP-adres krijgt, netwerkpakketjes van de certificaatverstrekker richting de juiste server gaan (er geen sprake is van een BGP-hijack) en er, met name op "het laatste stukje", geen fysieke AitM tussen zit, krijgt de juiste server het aangevraagde certificaat. Bij de aanval in Duitsland is er, bij Duitse hosting providers, een ...