我最近做了一个实验，使用中间人攻击 (MitM) 在访问网站时获取帐户信息（用户名和密码）。我在这个场景中使用了两台电脑；一台作为目标，运行 Internet Explorer，另一台作为攻击者，运行 ettercap。一次尝试（假装是 steamcommunity.com）获得了信息；目标接受了攻击者通过中间人攻击提供的伪造 CA 自签名证书。另一次尝试（假装是 facebook.com）甚至不允许我在目标机器上为自签名证书添加例外。所以问题是，为什么一个网站允许我添加例外，而另一个网站却不允许？
答案1
之后DigiNotar 事件大型浏览器供应商开始别针某些“知名”网站（Facebook 肯定是）的证书或公钥，以防止使用欺诈性证书。我不知道微软是否也发表过声明，IE 是否也这样做，但他们有一个类似的概念，称为声誉证书