Исходное сообщение
"Взлом аккаунта в удостоверяющем центре Comodo привёл к генер..." Отправлено Aleksey Salow, 27-Мрт-11 23:53
> В том то и дело что есть, сессионный ключ которым все шифруется > получается злоумышленником в начале соединения, злоумышленник садится посередине между > клиентом и сервером и выступает для клиента как сервер, они обмениваются > открытыми ключами и устанавливают честное с точки зрения клиента соединение. При > необходимости злоумышленник также может общаться с сервером, выдавая себя за клиента. > В результате имеем всю необходимую инфу. Вы о чём? У сервера есть его pub/priv ключи и сертификат с pub ключём подписанным CA. В начале он формирует посылку для клиента (для DH, например), подписывает своим приватным ключём и высылает клиенту вместе с сертификатом. Клиент проверяет сертификат на валидность по всей цепочке или, хотябы, самый первый CA, сертификат от которого у него точно есть, принимает решение доверять сертификату или нет, и уже только потом проверяется подпись посылки и всё такое. Если кто-то вклинится в середину, то он отпадёт ещё на этапе проверки клиентом сертификата. Обратная посылка шифруется открытым ключём сервера, так что вклинившийся узнать сессионный ключ никак не может. Это всё, есно, работает только если мы доверяем CA, если же нет, то вся PKI, как уже сказали, разваливается к чертям.