将不受信任的证书添加到受信任的根证书颁发机构是否安全？

Question

在我在工作中访问互联网之前，我必须登录到他们的系统。登录页面是ipass.swu.ac.th。不幸的是，他们使用的安全证书似乎不受信任（在 Chrome 中）。每次我想访问他们的登录页面时，我都必须单击“仍然继续”。

我可以从这个答案中看到，我可以导出他们的证书，然后将其添加为 Windows 中受信任的根证书颁发机构。

我的问题是这个。我实际上并不信任网络。我在泰国的一所大学工作，网络上的许多计算机都充满了病毒。我什至不信任这里负责 IT 的计算机中心。所以我只想信任他们的证书才能访问他们的登录页面 ipass.swu.ac.th，仅此而已。如果我将他们的证书添加为受信任的根授权，我不知道这种信任会延伸到什么程度。

举一个具体的例子，当我打开 iTunes 时，如果我之前没有登录 ipass.swu.ac.th，它会抱怨它无法安全地访问 Apple 的服务器。那很好 - 我想保留那个警告。我只想与 ipass.swu.ac.th 共享我的大学用户名和密码。我不想与他们共享任何其他凭据，而且我担心如果我信任权威，iTunes 等应用程序可能会与大学计算机中心共享私人信息。

Answer 1

受信任的根证书是受信任可以为其他域颁发证书的证书。如果您将大学的证书添加为受信任的根，大学就有可能冒充其他受 SSL 保护的网站，以便拦截和窃听您与这些网站的连接。（这被称为中间人攻击。）

这是大学必须故意做的事情——他们不会因为你安装了证书而“意外”从你的应用程序中获取信息——但这并非闻所未闻。出于这个原因，一些企业 IT 部门在其所有计算机上安装了企业根证书。

如果你所在大学的网络安全性很差，那么外部攻击者也有可能闯入并窃取大学证书的私钥。这将允许攻击者在 SSL 连接中模拟大学，如果您已将其安装为受信任的根，攻击者也可以使用它来模拟其他 SSL 站点。