简短的回答：

不行，做不到。这是因为信誉良好的证书颁发机构不会为您的系统管理员无法控制的域颁发证书。

长答案：

在某些场景下可以做到。

例如 - 如果您使用 OpenVPN 创建与世界其他地方的 VPN 集中器的 TLS 连接，称为...说...awesomevpn.sx，则TLS 握手的第一步是服务器证书验证。您的系统管理员可以尝试 MITM 此连接，但他将无法为 awesomevpn.sx 提供证书，因为没有 CA 会向他颁发证书，这将导致连接失败。

但是，考虑公司与供应商签订合同来安装数据包检测设备的情况。为了对安全连接执行 MITM 攻击，供应商将强制将他们自己的“根”证书安装到客户端计算机上。这样，他们可以使用自己的 CA 为任何域签署证书。这可以通过检查设备即时完成。当这些证书在 MITM 序列期间提供给客户端时，它们将被接受，从而允许连接完成，并且可以清楚地检查数据包。

这听起来像是 CA 系统的一个弱点，但请记住，在公司环境中，您无法对公司拥有的机器进行物理控制。没有物理控制，就安全而言，游戏就结束了。

所以你得到的解释缺少一个关键点——他们没有提到在客户端机器上安装自己的根证书的要求。它与 VPN 客户端的弱点或用于安全连接的各种协议无关。

您可能想在Gibson Research Corporation网站上阅读这篇文章：添加到“HTTP”末尾的“S”表示安全。（或者至少它应该是。）

Web 浏览器上完整的密钥或锁图标的存在曾经意味着用户和远程 Web 服务器之间的连接已经过身份验证、安全和加密。. . 并且不易受到任何第三方的任何形式的窃听。不幸的是，这不再总是正确的。

和

这个优雅的系统如何 [cfr. CA系统]被颠覆了？

任何希望监控其员工、学生或用户的每一个互联网活动的公司、教育机构或其他互联网连接提供商——他们访问的每个社交网络或银行网站的每个私人用户 ID 和密码、他们的医疗记录，都“安全”电子邮件 。. . 一切——只需安排在用户的浏览器或计算机中添加一个额外的“伪证书颁发机构”。就是这么简单。