Tohle asi míří na BFU, kteří nic nechtějí řešit – jen kdekoli zadat jméno a heslo a mít svůj webmail. Trochu to může pomoci, ale tam je zase riziko, že jim stát podstrčí svoji CA* a pak odposlechne heslo nebo bude falšovat komunikaci – obyčejný MITM mezi uživatelem a webmailem – nic naplat, že všechno dál už je šifrované. No, aspoň to trochu zvyšuje šanci na odhalení šmíráků a pořád je lepší taková decentralizace než velké webmaily typu GMail.
Spíš by to chtělo nějakou sofistikovanější správu certifikátů a CA v prohlížečích a dalších programech. Abys mohl např. určit, že ta státní CA může vydávat jen certifikáty pro vyjmenované domény (což sice ve standardu je, ale chce to nějaké GUI a možnost, aby si omezení mohl přidat i uživatel sám, aby nemusela být uvedena v původním certifikátu).
*) např. bude její instalace nutná pro přístup do datové schránky nebo na nějaký úřední web
Na localhostu takový MITM odposlech sice nehrozí, ale zase se to bude instalovat stejně nebo hůř než e-mailový klient (a ve většině distribucí už nějaký je, takže ani není potřeba ho instalovat). U prohlížeče je větší riziko phishingu a různé další útoky (XSS, XSRF…), proto je IMHO lepší když to běží jako samostatná aplikace. Uživatele prostě klikne na ikonu „E-mail“ a je to.
Pane Krčmář, neříkejte, že uživatel umí spustit jenom aplikaci webového prohlížeče. Je plno dalších věcí, které uživatel taky nedělá v prohlížeči, např. Office, paření her a poslouchání hudby. Takže důvod řešení webovým prohlížečem, aby to zvládnul i imbecil (protože i debil umí místo prohlížeče spustit emailový klient), jako argument neberu.
Na druhé straně jestli někdo cítí potřebu mít to přes web a ještě za to dát 100 klacků, je to jeho věc.
>>Abys mohl např. určit, že ta státní CA může vydávat jen certifikáty pro vyjmenované domény
Na to ma byt DANE: http://www.root.cz/clanky/protokol-dane-aneb-z-kroceni-zlych-certifikacnich-autorit/
DANE ale slouží k něčemu jinému*. Mně šlo o to, aby si uživatel mohl přidat CA mezi důvěryhodné a říct programu např. „tahle CA je důvěryhodná, ale smí vystavovat certifikáty jen pro subdomény v gov.cz, certifikátům pro jiné domény od ní nevěřím“.
Tahle podmínka může být už dnes v certifikátu, X.509 to podporuje, ale hodilo by se, aby takové omezení mohl doplnit i dodatečně uživatel.
Hodně by to pomohlo a mohly by být takto omezené různé firemní CA (Google, Microsoft) jen na domény dané firmy, nebo různé lokální CA – na domény daného státu, nebo na státní subdoménu (např. ten gov.cz).
*) funguje jako dodatečná pojistka (za předpokladu, že uživatel má potřebný SW) pro provozovatele serveru, který může říct např. „pro moji doménu smí certifikáty vydávat jen tahle CA“. Ale uživatel do toho nemá co mluvit, ten si jen tohle pravidlo stáhne přes DNS(SEC) a řídí se jím – ale nemůže si vytvářet pravidla vlastní a omezovat působnost CA, které má mezi důvěryhodnými. V podstatě to z DNS systému dělá takovou paralelní CA.