Google rinunciare alla marcatura separata dei certificati di livello EV () in Chrome. Se in precedenza per i siti con tali certificati veniva visualizzato il nome della società verificata dall'ente certificatore nella barra degli indirizzi, ora per questi siti verrà mostrato lo stesso indicatore di connessione sicura utilizzato per i certificati con verifica dell'accesso al dominio.
A partire da Chrome 77, le informazioni sul utilizzo dei certificati EV verranno visualizzate solo nel menu a discesa, che appare facendo clic sull'icona di connessione sicura. Nel 2018, una soluzione analoga è stata adottata da Apple per il browser Safari e implementata nelle versioni iOS 12 e macOS 10.14. Ricordiamo che i certificati EV confermano i parametri di identificazione dichiarati e richiedono che l'ente certificatore verifichi i documenti di appartenenza del dominio e la presenza fisica del proprietario del sito.
Una ricerca condotta da Google ha mostrato che l'indicatore precedentemente utilizzato per i certificati EV non forniva la protezione attesa agli utenti, che non prestavano attenzione alla differenza e non la utilizzavano per prendere decisioni sull'inserimento di dati riservati sui siti. La ricerca condotta da Google ha dimostrato che l'85% degli utenti non è stato fermato dall'inserire le proprie credenziali quando nella barra degli indirizzi appariva l'URL "accounts.google.com.amp.tinyurl.com" invece di "accounts.google.com", se la pagina mostrava un'interfaccia tipica di Google.
Per guadagnare fiducia degli utenti, per la maggior parte è stato sufficiente rendere la pagina simile all'originale. Di conseguenza, è stata conclusa la valutazione che gli indicatori di sicurezza positivi non sono efficaci e bisognerebbe concentrarsi sull'organizzazione di avvisi chiari sui problemi. Ad esempio, tale schema è stato recentemente applicato alle connessioni HTTP, che vengono chiaramente contrassegnate come non sicure.
Inoltre, le informazioni visualizzate per i certificati EV occupano troppo spazio nella barra degli indirizzi, possono generare confusione quando si vede il nome della società nell'interfaccia del browser e violano il principio di neutralità del prodotto e del phishing. Ad esempio, l'ente certificatore Symantec ha rilasciato un certificato EV all'azienda "Identity Verified", il cui nome ingannava gli utenti, specialmente quando il nome reale del dominio aperto non poteva essere visualizzato completamente nella barra degli indirizzi:
Nota: gli sviluppatori di Firefox hanno preso una decisione analoga e non evidenzieranno separatamente i certificati EV nella barra degli indirizzi a partire dal rilascio di Firefox 70. In Firefox 70 verrà visualizzata anche la distinzione tra i protocolli HTTPS e HTTP nella barra degli indirizzi.
Fonte: opennet.ru
