V Chrome 77 a Firefox 70 bude zastaveno označování certifikátů s rozšířenou verifikací

Společnost Google se rozhodla vzdát se samostatného označení certifikátů úrovně EV (Rozšířená validace) v prohlížeči Chrome. Zatímco dříve pro webové stránky s takovými certifikáty bylo v adresním řádku zobrazeno jméno ověřené firmy vystavující certifikáty, nyní pro tyto stránky se zobrazí se zobrazuje stejný indikátor zabezpečeného připojení jako pro certifikáty s ověřením přístupu k doméně.

Od verze Chrome 77 bude informace o používání EV certifikátů zobrazena pouze v rozbalovací nabídce, která se zobrazí po kliknutí na ikonu zabezpečeného připojení. V roce 2018 přijala podobné řešení společnost Apple pro prohlížeč Safari a implementovala ho v aktualizacích iOS 12 a macOS 10.14. Připomeňme, že EV certifikáty potvrzují uváděné parametry identifikace a vyžadují od certifikační autority ověření dokumentů o vlastnictví domény a fyzickou přítomnost vlastníka zdroje.

Studie provedená ve společnosti Google ukázala, že dříve používaný indikátor pro EV certifikáty neposkytoval očekávanou ochranu uživatelů, kteří si nevšimli rozdílu a nepoužívali ho při rozhodování o zadávání citlivých údajů na webových stránkách. Zatímco studie provedená ve společnosti Google studie ukázala, že 85 % uživatelů neodradilo od zadání přihlašovacích údajů zobrazení URL "accounts.google.com.amp.tinyurl.com" místo "accounts.google.com", pokud na stránce byl zobrazen typický rozhraní pro Google.

Aby bylo možné vyvolat důvěru na webu, většině uživatelů stačilo, že stránka vypadala podobně jako originál. V důsledku toho byl učiněn závěr, že pozitivní indikátory zabezpečení nejsou efektivní a je vhodné se zaměřit na organizaci zobrazení jasných varování o problémech. Například podobná schéma byla nedávno zavedena pro HTTP připojení, která jsou jasně označena jako nezabezpečená.

Přitom informace zobrazená pro EV certifikáty zabírá příliš mnoho místa v adresním řádku, může vést k dalšímu zmatení při pohledu na název firmy v uživatelském rozhraní prohlížeče a porušuje zásadu neutrálnosti produktu a se používá pro phishing. Například certifikační úřad Symantec vydal EV-certifikát společnosti „Identity Verified“, jejíž název mohl uživatele zmást, zejména když skutečné jméno otevřené domény nevešlo do adresního řádku:

Doplňující informace: Vývojáři Firefoxu se rozhodli nebude mít oddělené zvýraznění EV-certifikátů v adresním řádku od verze Firefox 70. V Firefoxu 70 také dojde k změnám v zobrazení protokolů HTTPS a HTTP v adresním řádku.

Zdroj: opennet.ru