Ez tényleg fáj:

Kurt Seifried rájött, hogy a RapidSSL (és minden bizonnyal még néhány "jónevű" CA) pusztán egy (tipikusan ssladmin@ kezdetű) e-mail cím meglétéhez köti az SSL tanúsítványok kibocsátását, ami ingyenes webmail szolgáltatók esetében nem túl szigorú feltétel... 

A probléma első sorban nyilván man-in-the-middle támadásra ad lehetőséget: Pl. egy megfelelően beállított vezetéknélküli AP segítségével a rapid tanúsítványt használva gyakorlatilag bárkit meggyőzhetünk, hogy a valódi levelezőrendszerrel beszélget, miközben a kommunikációt a saját magunk által üzemeltetett, preparált szájton vezetjük át. 

Mindez persze valójában nem a webmailek hibája, hanem CA-ké (akiknek néha elég egy céges fejléccel ellátott, aláírt papírt átfaxolni a hitelesítéshez), de azért nem árt, ha a hasonló szolgáltatásban utazók letiltják az ilyen, félreértésekre okot adó címek regisztrációját.

Itt olvashatók C Keigher tapasztalatai, aki a húsvétra való tekintettel Jézus Krisztus néven regisztrált néhány nagyobb szolgáltatóhoz - sikerrel.

Gondoltam teszek én is egy próbát, és beregisztráltam a nagyobb hazai szolgáltatóknál (freemail, indamail, citromail, mailbox) az ssladmin fiókot. Különösebb problémába nem ütköztem, innentől kezdve én is is szaladhatnék a RapidSSL-hez tanúsítvány igényelni... de minek?

A mélyen tisztelt hazai szolgáltatók ugyanis az esélyét sem adják meg annak, hogy biztonságosan férjünk hozzá a leveleinkhez, az említett oldalak HTTPS-en nem elérhetők...