Amikor a felhasználó az X weboldallal szeretne https kapcsolatot kiépíteni, a kapcsolatot lehallgatni kívánó ország kormányzata, titkosszolgálata "szerez" magának egy csaló tanúsítványt az X weboldal címére, megszemélyesíti az X weboldalt, majd a felhasználó kéréseit továbbítja a weboldalnak, a weboldal válaszait pedig visszaküldi a felhasználónak (azaz ún. man-in-the-middle támadást hajt végre).

Egy kormányzat esetleg kötelezhet egy hitelesítés szolgáltatót egy ilyen tanúsítvány kibocsátására, bár ha egy hitelesítés szolgáltató részt vesz egy ilyen műveletben azzal az egzisztenciáját kockáztatja, végképp elveszhet benne a bizalom. Webszerver tanúsítvány kibocsátása előtt egy hitelesítés szolgáltatónak ellenőrznie kell, hogy az igénylő valóban kontrollálja-e azon domaint (vagy domaineket), amelyre a tanúsítványt igényli.

Rengeteg hitelesítés szolgáltató létezik, és sok alkalmazás (pl. Internet Explorer, Mozilla) nagyon-nagyon sok szolgáltató gyökértanúsítványát elfogadja. Elég egyetlen együttműködő szolgáltatót találni, az alkalmazás összes felhasználója támadhatóvá válik. A cikk egyik fő érve arra épül, hogy létezik olyan, kormányzatok számára hirdetett berendezés, amely a fenti támadás kivitelezésére szolgál.

A cikk alapján megjelenő egyes sajtóhírek egyenesen azt sugallják, az SSL nem sokat ér, mert egyes kormányzatok - hitelesítés szolgáltatókkal együttműködve - le tudják hallgatni az SSL kapcsolatokat, és le is hallgatják őket. (Az alapcikk nem állít ilyet, sokkal visszafogottabban fogalmaz, és mutat néhány tippet és trükköt is az ilyen lehallgatások felfedésére.)

A következő a véleményem ezzel kapcsolatban:

1. A támadás technikailag természetesen kivitelezhető. Már régóta léteznek megoldások, amelyek ehhez hasonló módon teszik lehetővé, hogy egy szervezet/vállalat szűrhesse a tűzfalrendszerén átmenő titkosított forgalmat, vagy monitorozza a titkosított csatornán történő rendszergazdai belépéseket (pl. SSH). Sok szervezet használ ilyen technológiát, például azért, hogy a felhasználóik ne töltsenek le vírusokat SSL-en keresztül. Ez egy teljesen korrekt, "fehér" megoldás, ha az érintett felhasználók is tudnak róla.

2. Vannak országok, amelyek masszívan korlátozzák vagy figyelik saját állampolgáraik Internet-használatát.

3. Nem tartom valószínűnek, hogy szabad országok állampolgárait ilyen módon titokban, tömegesen figyeljék. A csaló tanúsítvány ekkor ugyanis lekerül a megfigyelt felhasználó számítógépére. Ha a megfigyelt felhasználónak feltűnik, hogy az oldalnak nem olyan tanúsítványa van, amint amilyen szokott lenni (pl. a paypal.com tanúsítványát a csalafinsztáni állami CA bocsátotta ki), akkor a megfigyelő nagyon csúnyán lebukik, és nemigen tudja kimagyarázni magát - sem ő, sem a CA. A megfigyelt aláírt bizonyítékhoz jut a megfigyelésről, és világraszóló botrányt csaphat. Az alkalmazások kidobják a tanúsítványtárukból a csaló tanúsítványokat kibocsátó szolgáltatókat.

Időközben Schneier blogjában is megjelent e hír. Én nem érzem ezt akkora nagy durranásnak, mint amekkora felhajtás van körülötte.