为了对 HTTPS 进行成功的中间人攻击，需要剥离 SSL 层并将其完全转换为 HTTP，或者需要具有来自同一域的 CA 的有效证书来重新加密内容，因此有一个绿色的酒吧。
许多廉价的 SSL 提供商允许您获得域名的 SSL 证书，而无需花费太多精力进行验证。国内公司的情况可能会好一些，但国外公司最多只需要传真一些“好看”的文件，仅此而已。
阻止我们为 google.com 获取有效 SSL 证书的机制是什么？
CRL 只是一种灾后措施，在发布 CRL 之前可能为时已晚。我在这里的图片中缺少什么？
编辑：有趣的是，在我提出这个问题一个月后，土耳其证书颁发机构为 google.com 域的虚假请求颁发了证书，我使用的示例 :)
为了成功的攻击，攻击者必须要么从受害者信任的 CA 中获取 SSL 证书，要么必须诱使受害者忽略其浏览器将显示的可怕警告。
现有的浏览器和操作系统都附带了上百个“受信任的 CA”，确实，如果有人被欺骗或受贿发行假证书，那么假证书可以用来构建假 HTTPS 服务器。攻击者仍然必须使用来自垃圾邮件的链接或中间人攻击来连接到他的服务器。
它已经发生了。新闻文章以此类事件为依据，预言了互联网的终结，数字诸神黄昏将使我们所有人陷入混乱；这就是新闻媒体的运作方式（坏消息就是好消息，启示录很难超越）。然而，值得注意的是：
这里的重点是，获得假证书只是整个过程中的一步，即使可以做到，但要小心翼翼地做到这一点要困难得多。当攻击者获得假证书后，他没有太多时间发现假发行。另一方面，成功的骗局（无论是中间人还是大量垃圾邮件）都需要准备、小心和一些时间。在某种程度上，破坏受信任的 CA 会危及整个操作，因为它会暴露给攻击者。
另一方面，用户的轻信率是一个被证明的常数；不乏它。使用它更容易，风险也更小（对于攻击者），并使用户忽略浏览器警告。因此，在实践中，现有的 CA 很少被破坏。
总结一下：是的，在当前的 CA 系统中，认证仅与最弱的受信任 CA 一样强大，而且这不是很安全——但是，在当今世界，这已经足够安全了。Web SSL 系统有效。SSL系统崩溃的那一天，更容易的攻击路径都被关闭，用户变得谨慎和理智，攻击者别无选择，只能获得假证书。这将是喜乐的原因，而不是哭泣的原因。
（但请记住，当前的 Web+SSL 之所以有效是因为经济：攻击者认为攻击 CA 不值得。如果您尝试在其他地方应用相同的模型，货币和商业运作方式不同，例如为了保护系统发射核导弹。安全分析始终取决于确切的威胁模型。）
我认为这个问题没有真正的解决方案。对于这个问题，我知道以下尝试：
我认为完整的 CA 结构已经被破坏，因为它现在正在实施。我现在不知道任何解决方案，但我认为未来必须改变一些事情。
一个可能的解决方案可能是只有一个中央 CA（这真的是一个解决方案吗？谁应该运行这个 CA？）。
另一种解决方案可能是信任网络，我们必须像现在一样放弃所有现有的解决方案......
还有一种解决方案可能是每个用户都导入自己的 CA，但对于许多用户来说，这不是最终的解决方案......
因此，我认为在不久的将来不会有可行的解决方案。