Azienda Google rinunciare a una marcatura separata dei certificati di livello EV () in Chrome. Se prima per i siti con tali certificati veniva visualizzato il nome della società verificato dall'ente certificatore, ora per questi siti lo stesso indicatore di connessione sicura che per i certificati con verifica dell'accesso al dominio.
A partire da Chrome 77, le informazioni sull'uso dei certificati EV verranno visualizzate solo nel menu a discesa che viene mostrato facendo clic sull'icona della connessione sicura. Nel 2018, una soluzione simile è stata adottata da Apple per il browser Safari e implementata nelle versioni iOS 12 e macOS 10.14. Ricordiamo che i certificati EV confermano i parametri di identificazione dichiarati e richiedono che l'ente certificatore verifichi i documenti di appartenenza al dominio e la presenza fisica del proprietario della risorsa.
Una ricerca condotta da Google ha mostrato che l'indicatore precedentemente utilizzato per i certificati EV non forniva la protezione attesa agli utenti, che non prestavano attenzione alla differenza e non la utilizzavano nel prendere decisioni riguardanti l'inserimento di dati riservati nei siti. La ricerca condotta da Google ha mostrato che l'85% degli utenti non ha dissuaso dall'inserire i dati di accesso la presenza nell'indirizzo URL "accounts.google.com.amp.tinyurl.com" invece di "accounts.google.com", nel caso in cui venisse visualizzata l'interfaccia tipica del sito Google.
Per generare fiducia nel sito, per la maggior parte degli utenti è stato sufficiente rendere la pagina simile all'originale. Di conseguenza, è stata tratta la conclusione che indicatori positivi di sicurezza non sono efficaci e che è opportuno concentrare l'attenzione sull'organizzazione dei chiarimenti espliciti riguardo a problemi. Ad esempio, questa procedura è stata recentemente adottata per le connessioni HTTP, che sono esplicitamente contrassegnate come non sicure.
Inoltre, le informazioni visualizzate per i certificati EV occupano troppo spazio nella barra degli indirizzi, possono creare ulteriore confusione alla vista del nome della società nell'interfaccia del browser e violano il principio di neutralità del prodotto e per il phishing. Ad esempio, il centro di certificazione Symantec ha emesso un certificato EV per l'azienda "Identity Verified", il cui nome ha ingannato gli utenti, specialmente quando il vero nome del dominio aperto non poteva essere visualizzato nella barra degli indirizzi:
In aggiunta: gli sviluppatori di Firefox adottato una soluzione analoga e non metteranno in evidenza separatamente i certificati EV nella barra degli indirizzi a partire dal rilascio di Firefox 70. Anche in Firefox 70 ci sarà la visualizzazione dei protocolli HTTPS e HTTP nella barra degli indirizzi.
Fonte: opennet.ru
