Domain-Name-System
是否可以 DNS 欺騙 SSL 證書頒發機構？
該網站聲稱 HTTPS 不夠安全，因為 CA 本身可能被 DNS 欺騙https://protonvpn.com/blog/public-wifi-and-https/
這似乎不太可能是真的。如果 Chrome 保留了受信任的證書頒發機構的本地列表，為什麼他們不保留其公鑰列表？DNS 欺騙無法欺騙儲存在我的客戶端中的 CA 公鑰（假設 Chrome 儲存它們，我不知道事實）。
瀏覽器（和其他 TLS 客戶端）擁有的可信 CA 列表由 CA 公鑰列表組成。他們不需要連接到 CA 來訪問密鑰。可以通過導入您希望信任的其他 CA（公司或私人）的公鑰來擴展此機制。
證書頒發機構確實維護已撤銷證書的列表。有必要聯繫 CA 以檢查證書是否已被吊銷。該檢查的結果可以被記憶體，因此不必每次看到證書時都檢查。如果站點使用 OSCP 裝訂來提供簽名驗證，則根本沒有必要。
可能會欺騙 DNS 以重定向撤銷請求。但是，提供正確簽名的響應將是極其困難的。
有人可能會說服 CA 提供不屬於證書中所述組織的證書的風險。這是吊銷證書的原因之一。組織有一些機制可以發布允許簽署其證書的一個或多個證書頒發機構。
通過撤銷對大多數預設證書的信任，可以使所描述的攻擊更加困難。如果瀏覽器收到由不受信任的 CA 簽名的證書，這應該會導致瀏覽器發出警報。CA 現在已意識到此問題，並且不太可能為使用此攻擊的站點頒發證書。瀏覽器提供商可能會刪除任何被發現頒髮用於此類攻擊的證書的 CA。
如果您使用書籤中的 URL 或最近看到的網站瀏覽網站，則所描述的攻擊不太可能成功。欺騙的 URL 看起來不錯，但瀏覽器並不關心 URL 的樣子。