Das Unternehmen Google auf die separate Kennzeichnung von EV-Zertifikaten zu verzichten () in Chrome. Früher wurde in der Adresszeile bei Websites mit solchen Zertifikaten der Name des von der Zertifizierungsstelle überprüften Unternehmens angezeigt, jetzt haben diese Websites den gleichen Indikator für eine sichere Verbindung wie bei Zertifikaten mit Domainzugangsverifizierung.
Seit Chrome 77 wird die Nutzung von EV-Zertifikaten nur noch im Dropdown-Menü angezeigt, das beim Klicken auf das Symbol für die sichere Verbindung sichtbar wird. 2018 hat Apple eine ähnliche Entscheidung für den Browser Safari getroffen und diese in iOS 12 und macOS 10.14 umgesetzt. Es sei daran erinnert, dass EV-Zertifikate die angegebenen Identifikationsparameter bestätigen und eine Prüfung der Dokumente zur Domainzugehörigkeit sowie die physische Anwesenheit des Eigentümers erfordern.
Eine Untersuchung von Google hat gezeigt, dass der zuvor verwendete Indikator für EV-Zertifikate den gewünschten Schutz für Nutzer nicht bot, die die Unterschiede nicht wahrnahmen und diese nicht bei Entscheidungen über die Eingabe von vertraulichen Daten auf Websites berücksichtigten. Die Untersuchung von Google hat ergeben, dass 85 % der Nutzer nicht davon abgehalten wurden, ihre Anmeldedaten einzugeben, weil in der Adresszeile die URL „accounts.google.com.amp.tinyurl.com“ anstelle von „accounts.google.com“ angezeigt wurde, falls auf der Seite das typische Google-Interface angezeigt wird.
Um Vertrauen in die Website zu schaffen, war es für die meisten Nutzer ausreichend, die Seite dem Original ähnlich zu gestalten. Daraus wurde der Schluss gezogen, dass positive Sicherheitsindikatoren nicht effektiv sind und man sich darauf konzentrieren sollte, klare Warnungen über Probleme auszugeben. Zum Beispiel wird ein ähnliches Schema seit Kurzem für HTTP-Verbindungen angewendet, die deutlich als unsicher gekennzeichnet werden.
Die für EV-Zertifikate angezeigte Information nimmt zu viel Platz in der Adresszeile ein, kann zusätzliche Verwirrung stiften, wenn der Name des Unternehmens in der Benutzeroberfläche des Browsers angezeigt wird, und verstößt zudem gegen das Prinzip der Produktneutralität und für Phishing. Beispielsweise hat das Zertifizierungszentrum Symantec ein EV-Zertifikat an das Unternehmen „Identity Verified“ ausgestellt, dessen Name Benutzer irreführte, besonders wenn der echte Name der offenen Domain nicht in die Adresszeile passte:
Ergänzung: Die Entwickler von Firefox eine ähnliche Lösung einführen und werden EV-Zertifikate in der Adresszeile ab der Veröffentlichung von Firefox 70 nicht mehr gesondert auszeichnen. In Firefox 70 wird es außerdem eine Anzeige der Protokolle HTTPS und HTTP in der Adresszeile geben.
Quelle: opennet.ru
