あなたがそれを受け入れたら、自己署名証明書は中間者から安全です
自己署名SSL証明書を持つメールサーバーがあります。
Thunderbirdを使用してこのサーバーにアクセスすると、この証明書を受け入れるように求められます。
したがって、ローカルネットワークなどの半安全な場所でこれを受け入れるとしましょう。次に、Thunderbird電子メールクライアントで受け入れられた証明書を使用して、安全でないネットに移動します。
Thunderbirdは、電子メールサーバーに対してSTARTTLSを使用するように設定されています。
この証明書が受け入れられると、中間者攻撃を行うことが不可能になるためですか。誰かがこの公開自己署名SSL証明書を利用するには、メールサーバーが保持する秘密鍵も必要ですか？
危険信号は、Thunderbirdがある日突然メールサーバーから新しい証明書を受け入れるように要求した場合です。
ドメインを管理している場合は、無料のSSL証明書の取得を強く検討する必要があります。無料の証明書がいくつか提供されています。
Thunderbirdの「承認済み」証明書は、サーバーを参照したホスト名と証明書の拇印をペアにします。したがって、MITM攻撃は、DL問題を解決しないと、ほぼ不可能です。これは、妥当なビット長を選択したことを前提としています（最近では2048または4096。ただし、1024に対して引数を指定できます）。
PKIキーは、秘密キーと公開キーの両方を持っている場合にのみ役立ちます。はい、証明書エラーに関する新しい警告は、常に最大限の識別力を持って確認する必要があります。
この証明書が受け入れられると、中間者攻撃を行うことが不可能になるためですか。誰かがこの公開自己署名SSL証明書を利用するには、メールサーバーが保持する秘密鍵も必要ですか？
それは正しいです。攻撃者は、クライアントが使用しているものと一致する秘密鍵を持っていない限り、リモートサーバーであると偽ることはできません。
残っている問題には、証明書のブルートフォース（基本的には発生しない）、サーバーからの秘密鍵の盗用、またはソフトウェアの脆弱性の悪用（自己署名証明書とまったく同じ「実際の」証明書に影響を与える可能性があります）が含まれます。
既知の証明書を検証するために、それを受け入れるときに自信を持っている自己署名証明書は、他の何よりも優れています。 PKI /署名チェーンにより、配布と失効がはるかに簡単になりますが、キーの認証を維持するために重要ではありません。それらは単純さとトレースを助けるだけです。それは一般の人々や大企業にとって重要です。プライベートメールサーバーについて話しているだけなら、私は自己署名証明書を使ってまったく同じことをします。
Thunderbirdにインポートした元の証明書を信頼する場合、これは、証明書のCNに一致するサーバーへの後続のすべての接続に使用されます。
自己署名証明書はパブリックCAによって発行されたものと重複しないため、（侵害またはなりすましの可能性がある）サーバーから新しい証明書が要求されるケースは正確に2つあります。
- 証明書の有効期限が切れている、または
- ホスト名が証明書のCNと一致しません
2番目のケースは、思ったよりも早く発生する可能性があります。動的IPを使用していて、ホスト名ではなくIPに接続している場合、一致しません。