Chrome 77 ja Firefox 70 lõpetavad laiendatud kontrollimise sertifikaatide märgistamise.

Google'i ettevõte otsustas keelduda EV (Laiendatud kontrollimine) tase sertifikaatide eraldi märgistamisest Chrome'is. Kui varasemalt näidati veebilehtedel, millel on sellised sertifikaadid, kinnitatud sertifikaadi väljaandja ettevõtte nime, siis nüüd nende lehtede jaoks kuvatakse sama kaitstud ühenduse indikaator nagu domeenipõhiste sertifikaatide puhul.

Alates Chrome 77-st kuvatakse teave EV-sertifikaatide kasutamise kohta ainult rippmenüüs, mis kuvatakse, kui vajutada kaitstud ühenduse ikoonile. 2018. aastal tegi sarnase otsuse Apple Safari brauseri jaoks ja rakendas seda iOS 12 ja macOS 10.14 versioonides. Meeldetuletuseks mainime, et EV-sertifikaadid kinnitavad esitatud identifitseerimise parameetreid ja nõuavad sertifikaadi väljaandjalt domeeni kuuluvaid dokumente ja omaniku füüsilist kohalolekut.

Google'is tehtud uuring näitas, et varem kasutatud EV-sertifikaatide indikaator ei pakkunud kasutajatele oodatud kaitset, kes ei pööranud tähelepanu erinevusele ning ei kasutanud seda konfidentsiaalsete andmete sisestamise otsuste määramisel veebilehtedel. Google'is läbi viidud uuring näitas, et 85% kasutajatest ei peatanud andmete sisestamist URL-iga "accounts.google.com.amp.tinyurl.com" asemel "accounts.google.com", juhul kui lehel kuvatakse tüüpiline Google'i kasutajaliides.

Enamikule kasutajatest osutus veebilehe usaldusväärsuse tõstmiseks piisavaks muuta leht originaalile sarnaseks. Seejärel tehti järeldus, et positiivsed turbeindikaatorid ei ole efektiivsed ning tuleks keskenduda selgete hoiatuste esitamise korraldamisele probleemide olemasolu kohta. Näiteks on sarnane skeem hiljuti kasutusele võetud HTTP-ühenduste puhul, mis märgitakse selgelt kui ebaturvalised.

Samas occupy EV-sertifikaatide jaoks kuvatud teave adresseerimise reas liiga palju ruumi, võib tekitada täiendavat segadust, nähes ettevõtte nime brauseri kasutajaliideses, ning rikub toote neutraalsuse põhimõtet ja kasutatakse phishing. Näiteks väljastas sertifitseerimiskeskus Symantec ettevõtte „Identity Verified” EV-sertifikaadi, mille nimi ajas kasutajad segadusse, eriti kui avatud domeeni tegelik nimi ei mahtunud aadressiriba:

Täienduseks: Firefoxi arendajad otsustasid sarnase lahenduse ja ei tohi eraldi esile tuua EV-sertifikaate aadressiribas alates Firefox 70 väljalaskest. Samuti toob Firefox 70 muudatusi HTTPS ja HTTP protokollide kuvamises aadressiribas.

Allikas: opennet.ru