如何保证 CA 证书颁发机构的合法性？

[caixiexin]

最近再复习Https和SSL相关的东西，看到CA这块相关的知识时，有点疑问：
1. 经常听说有伪造证书进行中间人攻击的方式，怎么没有伪造证书顺便伪造CA认证的方式呢？
2. http://www.cnblogs.com/hyddd/archive/2009/01/07/1371292.html 这里有篇文章说，CA的合法性来自于上一级的CA认证中心，而浏览器中一般预装根CA认证中心证书，所以最终都能跑到根CA去校验。那有没有可能伪造一个CA根证书置于客户端中，让伪造者的伪造的证书都跑到这个伪造的CA去认证并通过？比如某公司自己出了个浏览器，内置几个假的根CA证书？
说的通俗一点，就是双方交易总要找个第三方做担保，但是怎么保证这个第三方不是跟其中一个人一伙的呢？
自己对于安全这块的知识很零散，但愿不是问了个很蠢的问题。
thanks in advance ：）

[wy315700]

@mornlight 好多人就喜欢杞人忧天，总觉得只有他自己的CA才安全。

[ihciah]

CA签假证书被抓现行整个公司就废了。。

[choury]

@66450146 说的是华为么

[msg7086]

@caixiexin 以前 Chrome 的隐私模式上有一句话说得很好。
隐私模式不能防止 **站在你背后的人**。
证书也是一样。如果有人/软件直接操作了你的电脑，导入了伪造证书，那么也没有什么事情是他们不能做的了。