Wenn die Root-Zertifikate zumindest auf die jeweiligen TLDs beschränkt wären ...

[asada]

Irgendwie finde ich das garnicht toll, dass CNNIC einfach mal Schlüssel für ne deutsche Seite erstellen kann ohne dass der Browser warnt ...

[Carla von Thaen]

asada schrieb:
--------------------------------------------------------------------------------
> Irgendwie finde ich das garnicht toll, dass CNNIC einfach mal Schlüssel für
> ne deutsche Seite erstellen kann ohne dass der Browser warnt ...

...oder Verisign

[Der Adminblogger]

Was hat das eine mit dem anderen zu tun?

Ich kann bei jeder CA ein Zertifikat für Domains mit beliebigen TLDs bekommen.

Ein Firefox-Plugin allerdings, das eine Warnung ausgibt, sobald ein Zertifikat von einer bestimmten CA signiert wurde, wäre in der Tat nicht schlecht.

Dann packt man in diese Liste neben CNNIC noch paar andere denen man nicht vertraut und wird fortan gewarnt, sobald man auf ein Cert dieser CA stößt.

[ThorstenMUC]

Wenn dir die Zusammenstellung der Root-CAs nicht passt - du kannst die jederzeit ergänzen/zusammenstreichen...

Weiß allerdings nicht, wie das mit Updates dann aktualisiert wird - zumindest meine extra hinzugefügten CAs überstehen auch ein FF-Update.