Компания Google да се откаже от отделното обозначаване на сертификатите EV () в Chrome. Ако преди за сайтове с подобни сертификати в адресната лента се показваше името на проверената компания от удостоверяващия център, то сега за тези сайтове същият индикатор за защитена връзка, както при сертификатите с проверка на достъпа до домейна.
Започвайки от Chrome 77, информацията за използването на EV сертификати ще се показва само в падащото меню, което се показва при кликване на иконата за защитена връзка. През 2018 г. подобно решение беше прието от Apple за браузъра Safari, и то беше реализирано в изданията iOS 12 и macOS 10.14. Напомняме, че EV сертификатите потвърдиха обявените параметри за идентификация и изискват удостоверяващият център да провери документите за принадлежност към домейна и физическото присъствие на собственика на ресурса.
Изследване, проведено в Google, показа, че предишно използваният индикатор за EV сертификати не предоставя очакваната защита на потребителите, които не обръщаха внимание на разликата и не я използваха при вземането на решения за въвеждане на конфиденциални данни на сайтовете. Проведеното в Google показа, че 85% от потребителите не се отказват от въвеждането на данни за вход, наличието в адресната лента на URL „accounts.google.com.amp.tinyurl.com“ вместо „accounts.google.com“, ако на страницата се показва типичният интерфейс на сайта Google.
За да предизвика доверие към сайта, на повечето потребители им е било достатъчно просто страницата да изглежда подобно на оригинала. В резултат беше направен извод, че положителните индикатори за безопасност не са ефективни и трябва да се съсредоточи вниманието върху организацията на подаването на явни предупреждения за проблеми. Например, подобна схема отскоро се използва за HTTP връзки, които ясно се обозначават като небезопасни.
В същото време информацията, предоставяна за EV сертификатите, заема твърде много място в адресната лента, може да предизвика допълнителна объркване при виждането на името на компанията в интерфейса на браузъра, а също така нарушава принципа на неутралност на продукта и за фишинг. Например, удостоверителният орган Symantec издаде EV-сертификат на компанията «Identity Verified», името на която заблуждаваше потребителите, особено когато реалното име на открития домейн не се побираше в адресната лента:
Допълнение: Разработчиците на Firefox аналогично решение и няма да отделят EV-сертификати в адресната лента, започвайки с издаването на Firefox 70. В Firefox 70 също отображението на протоколите HTTPS и HTTP в адресната лента.
Източник: opennet.ru
