事关国家和民族安全问题，明白的人一定得回答！

Question

1、内置微软浏览器的根证书可以删除或篆改吗？比如通过病毒或远程木马手段或者直接在本机操作等，意思是存在不存在修改浏览器内置根证书的可能性，如果存在的话后果应该知道了吧！ 
2、如果一个钓鱼网站也申请了一个经过‘内置浏览器的根证书’认证的证书，并且再通过病毒或木马手段，使得我们输入正确的银行地址，但却转到他们的钓鱼网站，这时候也会出现正确安全锁，而且也不会提示证书错误，我们就会以为访问是正确的，但其实我们是在跟钓鱼网站对话。而且他们要知道我证书公钥的话也可以跟我正常对话，哪怕我是在用工行的U盾。也就是说浏览器端也可以跟钓鱼服务器端建立秘密通道，当然假设他们已弄到了工行的加密解密算法，但弄这东西相对是比较容易的。因为这样，所以感觉网络银行不是很安全啊！ 
3、如果我申请了一公钥，再用这公钥和工行名称一起捆绑，制作出一根证书，作为不懂技术也处于弱势的用户怎么分辨真假？ 哪个大狭帮忙解说解说吧？

Answer 1

一、个人感觉光依靠根证书是不能保证不被钓鱼的，但可以验证你访问的服务器是不是你心中的服务器，当然前提还是必须保证根证书不可被修改，但总感觉只要是暴露在互连网上的软性的东西对用户来说都注定是防不胜防的，所以我实际的本意本就不相信一切以软性方式发布和存在的网络安全验证体系，尤其涉及电子商务的安全体系。因为可以感觉到由它涉及的证书等东西似乎都没用，在这其中唯一值得信任的可能只有加密技术。不过有一项技术还是能让我们对证书技术产生信心的，那就是智能卡技术，也就是让公钥和私钥都在卡里产生，私钥不出卡，加密和解密全在卡里进行，用户证书也存在卡里，这样的证书发布方式我们把它叫硬性证书，相比于通过网络传送只单纯以存储方式存在硬盘或U盘上的证书我们叫软性证书。硬性证书主要是：1、私钥自产生起就不出卡，不提供任何读取私钥接口，因此私钥根本就不可能出卡，其安全度之高当然就可想而知。2、加密和解密都在卡里进行，加解密算法可以保密并保证不被病毒感染和恶意篆改。3、证书存在卡里，根本不担心被非法复制问题。4、卡里面的私钥等敏感信息跟互连网是完全隔绝的，不存在被读取和修改的问题。这就是说用户只要保管好手中的卡（如U盾等）就可说是万事大吉，而保管好卡是用户主观能力完全能做到的，基于这样的原因我们对这项硬性技术应该是值得信任的。而相反以软性方式发布的证书主要是其中的私钥和证书都可看做是游离在网上的，因为一般都建议用户不要把带私钥的证书存在硬盘上，但这种情况往往被多数不太明白的用户忽略，即使把证书放在认为更隐蔽一些的U盘上或是电子信箱上，它们实际也只是以一种不被保护的普通文件存在而已，被非法复制的可能性也很大，这也是为什么多数以这种方式发布证书的网站的支付额度都有限制的原因。而申请了智能卡证书的用户就没有这个限制。 二、对于根证书我是这么看的，如果以软性方式发布，我还是觉得它作用有限，不可完全信任，因为它并不是不可被篆改的，起码凭用户的主观能力是不可控制的。但对于以硬性方式发布的证书我倒是觉得很值得放心相信它的，如果能把公认的根证书都放在智能卡里变成不可篆改就更好，只是到目前我还弄不明白人们为什么不这么做的原因。

Answer 2

说篡改根证书是不怎么准，应该说仿冒或替换。不好意思！我原来说得也不太清晰，我要表达的意思简单来说就是：在我们验证一个证书的时如何防止使用了非真正的发证机构的根证书来验证，即使用了一个冒牌的根证书来验证一个冒牌的实际就是由它签发的证书。比如假设国际上规定我们申请的证书都必须是由verisign根证书签发的，这就是说任何证书的验证都必须调用verisign根证书来验证，也就是只要不是由verisign根证书签发的证书就会毫无疑问地提示错误。那么能不能躲避这种错误提示呢？当然可以，方法是制作一个假根证书，把它做成与verisign根证书一模一样的结构，并想办法替换掉浏览器里真正的verisign根证书，或者说想办法让浏览器验证时就自动调用这个假的根证书，这样验证由它签发的证书当然就不会提示错误了，蒙骗用户也是必然的了。