"Miközben lenne technikai lehetőség szintén kriptográfiai azonosítást eszközölni a bank oldalára."
A kliensen mi ellenőrzi, hogy tcp-kapcsolat valóban a banki kiszolgálást végző szerverrel (pontosabban a banki oldalon a TLS-t termináló eszközzel) épült ki? Ha előre ott lévő beépülő modul a böngészőbe, akkor az hogyan kerül oda? Ha az adott tcp-kapcsolatban letöltött komponens, akkor mi akadályozza meg a a MITM támadót, hogy azt a saját verziójára cserélje?