Chrome 77 kaj Firefox 70 ĉesos marki plilongigitajn kontrolatestojn

Guglo faris decidon forlasi la apartan markadon de EV-nivelaj atestiloj (Etendita Validigo) en Chrome. Se antaŭe por retejoj kun similaj atestiloj la nomo de la firmao kontrolita de la atesta centro estis montrita en la adresbreto, nun por ĉi tiuj retejoj estos montrata la sama indikilo de sekura konekto kiel por atestiloj kun domajna alirkontrolo.

Komencante kun Chrome 77, informoj pri la uzo de EV-atestiloj nur aperos en la falmenuo montrita kiam vi alklakas la sekuran konektan ikonon. En 2018, Apple faris similan decidon por la retumilo Safari kaj efektivigis ĝin en la eldonoj de iOS 12 kaj macOS 10.14. Ni memoru, ke EV-atestiloj konfirmas la deklaritajn identigajn parametrojn kaj postulas atestan centron kontroli dokumentojn konfirmantajn domajnan proprieton kaj la fizikan ĉeeston de la posedanto de la rimedo.

Studo de Google trovis, ke la indikilo antaŭe uzata por EV-atestiloj ne provizis la atendatan protekton por uzantoj, kiuj ne atentis la diferencon kaj ne uzis ĝin dum decidoj pri enigo de sentemaj datumoj en retejoj. Elspezita en Guglo studi montris, ke 85% de uzantoj ne malhelpis enigi siajn akreditaĵojn pro la ĉeesto en la adresbreto de la URL "accounts.google.com.amp.tinyurl.com" anstataŭ "accounts.google.com", se la paĝo montriĝas. tipa Guglo-reteja interfaco.

Por inspiri fidon al la retejo inter la plej multaj uzantoj, sufiĉis nur fari la paĝon simila al la originalo. Kiel rezulto, oni konkludis, ke pozitivaj sekurecaj indikiloj ne efikas kaj valoras koncentriĝi pri organizado de la eligo de eksplicitaj avertoj pri problemoj. Ekzemple, simila skemo ĵus estis uzita por HTTP-konektoj kiuj estas klare markitaj kiel nesekuraj.

Samtempe, la informoj montritaj por EV-atestiloj okupas tro da spaco en la adresbreto, povas konduki al plia konfuzo kiam vi vidas la kompanion nomon en la retumila interfaco, kaj ankaŭ malobservas la principon de neŭtraleco de la produkto kaj estas uzata por phishing. Ekzemple, la atestadaŭtoritato de Symantec elsendis EV-atestilon al la kompanio "Identity Verified", kies nomo trompis uzantojn, precipe kiam la vera nomo de la publika havaĵo ne kongruis en la adresbreton:

Aldono: Firefox-Programistoj akceptis simila solvo kaj ne aparte asignos EV-atestilojn en la adresstoko ekde la eldono de Firefox 70. En Firefox 70 ankaŭ estos ŝanĝiĝis montrado de HTTPS kaj HTTP-protokoloj en la adresbreto.

fonto: opennet.ru