被駭的 DNS 能讓假證書看起來合法嗎？

Question

我現在正在旅行，因此我閱讀了大量有關在不受保護的公共網路上安全瀏覽的內容。我的理解是，如果您使用HTTPS 並且您的瀏覽器指示（例如，透過點擊大多數瀏覽器中網址列左側的按鈕）該憑證是由受信任的機構簽署的，那麼您就是安全的，並且您知道您已到達預期站點。我想知道是否有任何方法可以偽造證書已簽署的事實。我問這個問題是因為我不太了解驗證憑證是否正確簽署的過程。我猜您的電腦必須訪問互聯網來檢查證書的有效性。在這種情況下，被駭的 DNS 是否可以將您發送到假冒的 CA 網站並說憑證是合法的，即使它不是合法的？有其他方法可以偽造嗎？

Answer 1

用於驗證憑證的金鑰已安裝在您的電腦上。如果您使用的是 Windows，則可以使用以下命令查看它們證書管理器。如果展開“受信任的根憑證授權單位”，您可以看到儲存在電腦上的金鑰。

因此，被駭的 DNS 無法覆寫這些金鑰。如果您對證書如何融入大局感到好奇，您可以閱讀有關信任鏈。