भर्खरै, गुगलले लगानीकर्ता अधिकार (CA) ले गुगल डोमेनका लागि जागिर प्रमाणपत्र जारी गर्यो। यस सम्झौताले आपूर्ति गर्नको लागि आपूर्तिमा निर्भर गर्दछ (tls) साथै सुरक्षित HTTP (HTTPS), विलाप गरिएका प्रमाणपत्रहरूको धारकलाई घृणा गर्दछ जुन एक म्यान-अफ-मध्यम आक्रमण गर्न सक्षम गर्दछ।
मैले प्रमाणित गर्नको लागि वेब साइटहरू तपाईले जाँच गर्दै हुनुहुन्छ कि बीमा उनीहरूको बीमा गरिएको छ, तपाईंको ब्राउजर निश्चित छ कि तपाईंले पहुँच गर्नुभयो भने त्यो पहुँच गरिएको छ। जब कसैले CAबाट एक प्रमाणपत्र अनुरोध गर्दछ, तिनीहरूले अनुरोध गर्न व्यक्तिको पहिचान पुष्टि गर्नै पर्छ। तपाईंको ब्राउजरका साथै अपरेटिंग प्रणालीसँग, अन्ततः विश्वसनीय आर्ट (जड क्यास भनिन्छ) को एक सेट छ। यदि प्रमाणपत्र ती मध्ये एक द्वारा जारी गरिएको छ, वा एक मध्यवर्ती CA जुन विश्वास छ भने, तपाईं जडानमा निर्भर हुनुहुनेछ। यो निर्भरको पूरै संरचना विश्वासको श्रृंखला भनिन्छ।
जाली गरिएको प्रमाणपत्रको साथ, तपाईं ग्राहकलाई मनाउन सक्नुहुन्छ जुन तपाईंको सर्भर वास्तवमै http://www.google.com हो। तपाईं यसलाई ग्राहकको जडानको साथसाथै वास्तविक गुगल सर्वरको बीचमा बस्न प्रयोग गर्न सक्नुहुनेछ, उनीहरूको सत्रलाई समेत।
यस अवस्थामा, मध्यसंवाद संविधानसभाले मात्र त्यस्तै गर्यो। यो डरलाग्दो छ, किनकि यसले यो सुरक्षालाई कमजोर पार्दछ जुन हामी सबै इन्टरनेटमा सबै सुरक्षित लेनदेनका लागि निर्भर गर्दछ। प्रमाणपत्र पिनिंग एक उपकरण हो जुन यस प्रकारको आक्रमणको सामना गर्न प्रयोग गर्न सकिन्छ। यो एक निश्चित प्रमाणपत्रको साथ समाहित गरेर काम गर्दछ। यदि यो परिवर्तन भयो भने, जडानलाई विश्वास गर्न सकिदैन।
TLS को केन्द्रीकृत प्रकृतिले काम गर्दैन यदि तपाईं अधिकारीहरूमा निर्भर हुनुहुन्न भने। दुर्भाग्यवस, हामी सक्दैनौं।