В Chrome 77 и Firefox 70 ще бъде прекратено маркирането на сертификати с разширена верификация

Компания Google взе решение да се откаже от отделното обозначаване на сертификати от клас EV (Разширена верификация) в Chrome. Ако преди за сайтове с подобни сертификати в адресната лента се показваше името на проверената удостоверяваща компания, то сега за тези сайтове ще се покаже индикаторът за защитена връзка е същият, какъвто е за сертификати с верификация на достъпа до домейна.

Започвайки от Chrome 77, информацията за прилагането на EV-сертификати ще се показва само в падащото меню, показвано при кликване на иконата за защитена връзка. През 2018 година подобно решение взе компанията Apple за браузъра Safari и го реализира в изданията iOS 12 и macOS 10.14. Напомняме, че EV-сертификатите потвърдиха заявените параметри на идентификацията и изискват удостоверяващата компания да проверява документите за принадлежност на домейна и физическото присъствие на собственика на ресурса.

Проведено изследване в Google показа, че преди използваният индикатор за EV-сертификати не предоставяше очакваната защита на потребителите, които не обръщаха внимание на разликата и не я използваха, когато вземаха решения за въвеждане на конфиденциални данни на сайтовете. Проведено в Google изследване показа, че 85% от потребителите не бяха спрени от въвеждането на данни за вход наличие в адресната лента на URL «accounts.google.com.amp.tinyurl.com» вместо «accounts.google.com», в случай че на страницата се показва типичният за сайта Google интерфейс.

За да предизвика доверие у сайта у повечето потребители, се оказа достатъчно само страницата да изглежда подобно на оригинала. В резултат беше направен извод, че положителните индикатори за сигурност не са ефективни и трябва да се съсредоточим върху организирането на ясни предупреждения за проблеми. Например, подобна схема отскоро се прилага за HTTP-връзките, които явно се маркират като небезопасни.

При това предоставяната информация за EV-сертификатите заема твърде много място в адресната лента, може да води до допълнителна объркване при виждането на името на компанията в интерфейса на браузъра, а също така нарушава принципа на неутралност на продукта и се използва за фишинг. Например, удостоверителният център Symantec издаде EV-сертификат на компанията „Identity Verified“, чийто имейл подвеждаше потребителите, особено когато реалното име на отворения домейн не се вписваше в адресната лента:

Допълнение: Разработчиците на Firefox беше приет аналогично решение и няма да отделят EV-сертификатите в адресната лента, започвайки с версия Firefox 70. В Firefox 70 също ще има променено показването на протоколите HTTPS и HTTP в адресната лента.

Източник: opennet.ru