Google at opsige den separate mærkning af EV-certifikater () i Chrome. Tidligere blev navnet på den godkendte certifikatudsteder vist i adresselinjen for websteder med sådanne certifikater, men nu vil disse websteder den samme indikator for en sikker forbindelse, som for certifikater med domænevalidering.
Fra Chrome 77 vil information om anvendelsen af EV-certifikater kun blive vist i den dropdown-menu, der vises ved at klikke på ikonet for en sikker forbindelse. I 2018 tog Apple en lignende beslutning for Safari-browseren og implementerede det i iOS 12 og macOS 10.14. Det skal bemærkes, at EV-certifikater bekræfter de angivne identifikationsparametre og kræver, at certifikatudstederen udfører kontrol af dokumenter om domænetilknytning samt fysisk tilstedeværelse af ressourceejeren.
En undersøgelse udført af Google viste, at den tidligere anvendte indikator for EV-certifikater ikke gav den forventede beskyttelse til brugerne, som ikke lagde mærke til forskellen og ikke brugte den, når de tog beslutninger om indtastning af fortrolige oplysninger på websteder. Undersøgelsen viste, at 85% af brugerne ikke blev forhindret i at indtaste deres legitimationsoplysninger ved at se URL'en «accounts.google.com.amp.tinyurl.com» i adresselinjen i stedet for «accounts.google.com», hvis siden viste en typisk Google-brugerflade.
For at skabe tillid til et websted viste det sig, at det var tilstrækkeligt for de fleste brugere blot at gøre siden lignende den originale. Konklusionen var derfor, at positive sikkerhedsindikatorer er ineffektive, og at fokus bør være på at give klare advarsler om problemer. For eksempel er en lignende ordning for nylig blevet anvendt for HTTP-tilkoblinger, som klart markeres som usikre.
Derudover optager den viste information for EV-certifikater for meget plads i adresselinjen, hvilket kan føre til yderligere forvirring ved synet af virksomhedens navn i browserens interface samt overtræder produktets neutralitetsprincip. til phishing. For eksempel udstedte certifikationsmyndigheden Symantec et EV-certifikat til virksomheden 'Identity Verified', hvis navn forvirrede brugerne, især når det faktiske navn på det åbne domæne ikke kunne komme ind i adresselinjen:
Tillæg: Firefox-udviklerne en tilsvarende beslutning og vil ikke særskilt fremhæve EV-certifikater i adresselinjen fra og med frigivelsen af Firefox 70. I Firefox 70 vil der også være visning af HTTPS- og HTTP-protokoller i adresselinjen.
Kilde: opennet.ru
