Les navigateurs (les plus récents au moins) embarquent les certificats publics des tiers de confiance les plus répandus (ou "autorités de certifications" ou "ca"). Du coup, c'est très complexe de se faire passer pour une banque "valide" (du point de vue SSL) vu que le tiers de confiance est aussi vérifié.
Après on peut très bien imaginé une chaîne crapuleuse du genre:
- code du navigateur trafiqué (embarquement de faux certificats d'un ou plusieurs 'ca')
- dns menteur pour le 'ca' (ex: verisign)
- dns menteur pour le site ciblé par l'utilisateur (ex: banque)
Mais ça devient très compliqué et assez remarquable.
[^] # Re: et chez les FAI ?
Posté par pampryl . En réponse à la dépêche L'expérience .42 - Un TLD hors de la tutelle de l'ICANN. Évalué à 3.
Après on peut très bien imaginé une chaîne crapuleuse du genre:
- code du navigateur trafiqué (embarquement de faux certificats d'un ou plusieurs 'ca')
- dns menteur pour le 'ca' (ex: verisign)
- dns menteur pour le site ciblé par l'utilisateur (ex: banque)
Mais ça devient très compliqué et assez remarquable.