Este artículo me hizo pensar: la siguiente alternativa (utilizando certificados autofirmados y un tercero ¿El servicio de terceros) es menos seguro que la jerarquía de CA actual en la que confían los navegadores? cito:
La parte realmente deprimente es que sería trivial configurar un Servicio simple donde los usuarios pueden cargar sus certificados de dominio a un sitio (después de probar la propiedad del dominio colocando un archivo en el dominio web root), y los navegadores podrían verificar automáticamente los archivos Allí como una salvaguardia contra este vector de ataque. Los archivos son Normalmente ~ 1KiB de tamaño por dominio.
Esto básicamente probaría que el certificado recibido del sitio web W realmente fue realizado por el (sub) dominio de W, y que el visitante no está siendo víctima de un ataque MITM. Por supuesto, esto parece el trabajo de un CA, pero como los CA no pueden abstenerse de exigir cantidades absurdas de dinero (anual o mensual) para un servicio tan simple, o pueden (por ejemplo, CACert) pero no serán aceptados por el navegador proveedores en sus listas de CA confiables, se debe encontrar una alternativa ...
Este servicio de confianza podría ser manejado por una fundación sin fines de lucro respaldada por los principales proveedores de navegadores, y realmente democratizaría el acceso a un cifrado sólido y la seguridad de la navegación web.
¿Existe una falla de seguridad en este esquema simple? o los proveedores de navegadores están demasiado interesados en los cajeros automáticos de CA? ...