Sehe ich das somit richtig, dass

ein Betreiber einer Phishing-Website, die z.B. aussieht wie das
Internetportal von $BeliebigerBank, sich dort einfach ein kostenloses
Zertifikat besorgen kann und für den Nutzer, der auf die Seite
gelangt, sieht dann alles wunderbar sicher und vertraulich aus?

Gruss
 Fabian°