Chrome 77 и Firefox 70 ще спрат да маркират сертификати за разширена проверка

Google взе решение изоставете отделното маркиране на сертификатите за ниво на EV (Разширено валидиране) в Chrome. Ако преди за сайтове с подобни сертификати в адресната лента се показваше името на фирмата, проверена от сертифициращия център, сега за тези сайтове ще се покаже същият индикатор за защитена връзка като за сертификати с проверка на достъп до домейн.

Започвайки с Chrome 77, информацията за използването на EV сертификати ще се показва само в падащото меню, показано, когато щракнете върху иконата за защитена връзка. През 2018 г. Apple взе подобно решение за браузъра Safari и го внедри в изданията на iOS 12 и macOS 10.14. Нека припомним, че EV сертификатите потвърждават посочените идентификационни параметри и изискват сертифициращ център за проверка на документи, потвърждаващи собствеността върху домейна и физическото присъствие на собственика на ресурса.

Проучване на Google установи, че индикаторът, използван преди за EV сертификати, не осигурява очакваната защита за потребителите, които не са обърнали внимание на разликата и не са го използвали, когато са вземали решения за въвеждане на чувствителни данни в сайтове. Похарчени в Google проучване показват, че 85% от потребителите не са били спрени да въведат идентификационните си данни от присъствието в адресната лента на URL адреса „accounts.google.com.amp.tinyurl.com“ вместо „accounts.google.com“, ако страницата показва типичен интерфейс на сайта на Google.

За да вдъхнете доверие в сайта сред повечето потребители, беше достатъчно просто да направите страницата подобна на оригинала. В резултат на това се стигна до заключението, че положителните индикатори за сигурност не са ефективни и си струва да се съсредоточим върху организирането на извеждането на изрични предупреждения за проблеми. Например, подобна схема наскоро беше използвана за HTTP връзки, които са ясно маркирани като несигурни.

В същото време информацията, показвана за EV сертификати, заема твърде много място в адресната лента, може да доведе до допълнително объркване при виждане на името на компанията в интерфейса на браузъра и също така нарушава принципа на неутралност на продукта и употребяван за фишинг. Например, сертифициращият орган на Symantec издаде EV сертификат на компанията „Identity Verified“, чието име беше подвеждащо за потребителите, особено когато истинското име на публичния домейн не се вписваше в адресната лента:

Допълнение: Разработчици на Firefox прието подобно решение и няма отделно да разпределя EV сертификати в адресния фонд, започвайки с пускането на Firefox 70. Във Firefox 70 също ще има променен показване на HTTPS и HTTP протоколи в адресната лента.

Източник: opennet.ru