Chrome 77 og Firefox 70 hætta að merkja útvíkkuð staðfestingarvottorð

Google tók ákvörðun yfirgefa sérstaka merkingu EV-stigskírteina (Extended Validation) í Chrome. Ef áður fyrir síður með svipuð vottorð var nafn fyrirtækisins staðfest af vottunarmiðstöðinni sýnt á veffangastikunni, nú fyrir þessar síður verður birt sama vísir um örugga tengingu og fyrir vottorð með lénsaðgangsstaðfestingu.

Frá og með Chrome 77 munu upplýsingar um notkun rafbílavottorðs aðeins birtast í fellivalmyndinni sem birtist þegar þú smellir á táknið fyrir örugga tengingu. Árið 2018 tók Apple svipaða ákvörðun fyrir Safari vafrann og innleiddi hana í útgáfum af iOS 12 og macOS 10.14. Við skulum muna að EV vottorð staðfesta tilgreindar auðkenningarfæribreytur og krefjast þess að vottunarmiðstöð staðfesti skjöl sem staðfesta lénseign og líkamlega viðveru eiganda auðlindarinnar.

Rannsókn Google leiddi í ljós að vísirinn sem áður var notaður fyrir rafbílavottorð veitti ekki þá vernd sem búist var við fyrir notendur sem tóku ekki eftir mismuninum og notuðu hann ekki þegar þeir tóku ákvarðanir um að slá inn viðkvæm gögn á vefsvæðum. Eyddi á Google rannsókn sýndi að 85% notenda voru ekki stöðvuð í að slá inn skilríki sín með tilvist „accounts.google.com.amp.tinyurl.com“ á vefslóðastikunni í stað „accounts.google.com“ ef síðan sýndi dæmigert Google síðuviðmót.

Til þess að vekja traust á síðunni hjá flestum notendum var nóg að gera síðuna svipaða upprunalegu. Þar af leiðandi var komist að þeirri niðurstöðu að jákvæðir öryggisvísar skila ekki árangri og það er þess virði að einbeita sér að því að skipuleggja úttak skýrra viðvarana um vandamál. Til dæmis hefur svipað kerfi nýlega verið notað fyrir HTTP tengingar sem eru greinilega merktar sem óöruggar.

Á sama tíma taka upplýsingarnar sem birtar eru fyrir rafbílaskírteini of mikið pláss í veffangastikunni, geta leitt til frekari ruglings þegar fyrirtækisnafnið er séð í vafraviðmótinu og brýtur einnig í bága við meginregluna um hlutleysi vöru og notað fyrir vefveiðar. Til dæmis gaf Symantec vottunaryfirvaldið út rafbílavottorð til fyrirtækisins „Identity Verified“, en nafnið á því var villandi fyrir notendur, sérstaklega þegar raunverulegt nafn almenningseignarinnar passaði ekki inn í veffangastikuna:

Viðbót: Firefox Developers samþykkt svipaða lausn og mun ekki úthluta rafbílaskírteinum sérstaklega í vistfangabirgðum frá og með útgáfu Firefox 70. Í Firefox 70 verður einnig breytt sýna HTTPS og HTTP samskiptareglur í veffangastikunni.

Heimild: opennet.ru