cf 好像可以签发任意域名的证书，然后如果在 ISP 里劫持了某个域名的解析结果，再配合这个签发的证书，是不是就可以中间人了。
This topic created in 2300 days ago, the information mentioned may be changed or developed.
 |
cydianJul 25, 2020 via Android
1
你无法下载 cf 颁发的证书
isp 劫持得在 cf 当地实现 |
 |
mxT52CRuqR6o5Jul 25, 2020 via Android
3
@Actrace cf 能签发是因为你把域名托管给了 cf，并不是任意签发
|
 |
5
你自己也可以签发任意证书，只是大家不认；
你自己也可以劫持任意解析，只是大家不认。 |
2 |
mxT52CRuqR6o5Jul 25, 2020
6
看了一下 cf 签发的证书好像是自己签发的
首先你要明白，现在的证书安全机制其实就是个安全游戏，在大家都遵守规则的情况下才能保证安全 如果证书颁发机构胡乱签发证书是有做到中间人攻击的可行性的，但代价也很大，就是被人发现后这个签发机构就废了（正如楼上提到的 CNNIC ），所以大家通常都会遵守规则 https://www.zhihu.com/question/65649877，根据知乎上的某个回答，一个证书颁发机构价值可能上亿美元 |
 |
7
CF 是 CA 机构才有任意签发的能力，CA 机构有严格的审计，你托管了才能签发，其他机构也是如此
|
 |
009694Jul 27, 2020
8
关键是私钥。没有 cf 证书的私钥，也就没没办法挪作他用
|
Select Language