Chrome 77 ו-Firefox 70 יפסיקו לסמן אישורי אימות מורחבים

גוגל קיבל החלטה לנטוש את הסימון הנפרד של תעודות ברמת EV (אימות מורחבת) בכרום. אם בעבר עבור אתרים בעלי תעודות דומות הוצג שם החברה המאומת על ידי מרכז האישורים בשורת הכתובת, כעת עבור אתרים אלו יוצג אותו מחוון של חיבור מאובטח כמו עבור אישורים עם אימות גישה לדומיין.

החל מ-Chrome 77, מידע על השימוש בתעודות EV יוצג רק בתפריט הנפתח המוצג כאשר תלחץ על סמל החיבור המאובטח. בשנת 2018, אפל קיבלה החלטה דומה עבור דפדפן Safari והטמיעה אותה במהדורות של iOS 12 ו-macOS 10.14. נזכיר שתעודות EV מאשרות את פרמטרי הזיהוי המוצהרים ומחייבות מרכז אישורים לאימות מסמכים המאשרים בעלות על הדומיין והנוכחות הפיזית של בעל המשאב.

מחקר של גוגל מצא שהמחוון ששימש בעבר לתעודות EV לא סיפק את ההגנה הצפויה למשתמשים שלא שמו לב להבדל ולא השתמשו בו בעת קבלת החלטות לגבי הזנת נתונים רגישים באתרים. בילה בגוגל מחקר הראה כי 85% מהמשתמשים לא נמנעו מלהזין את האישורים שלהם על ידי הנוכחות בשורת הכתובת של כתובת האתר "accounts.google.com.amp.tinyurl.com" במקום "accounts.google.com", אם הדף מוצג ממשק אופייני לאתר גוגל.

על מנת לעורר אמון באתר בקרב רוב המשתמשים, הספיק רק להפוך את העמוד לדומה למקור. כתוצאה מכך, הגיעו למסקנה כי מדדי אבטחה חיוביים אינם יעילים וכדאי להתמקד בארגון הפלט של אזהרות מפורשות על בעיות. לדוגמה, לאחרונה נעשה שימוש בסכימה דומה עבור חיבורי HTTP המסומנים בבירור כלא מאובטחים.

יחד עם זאת, המידע המוצג עבור תעודות EV תופס יותר מדי מקום בשורת הכתובת, עלול להוביל לבלבול נוסף בעת ראיית שם החברה בממשק הדפדפן, וכן מפר את עקרון ניטרליות המוצר ו משמש עבור דיוג. לדוגמה, רשות האישורים של Symantec הנפיקה אישור EV לחברת "Identity Verified", ששמה היה מטעה את המשתמשים, במיוחד כאשר השם האמיתי של התחום הציבורי לא התאים לשורת הכתובת:

תוספת: מפתחי פיירפוקס קיבל את פתרון דומה ולא יקצה בנפרד תעודות EV במלאי הכתובות החל מהשחרור של Firefox 70. ב-Firefox 70 יהיו גם השתנה תצוגה של פרוטוקולי HTTPS ו-HTTP בשורת הכתובת.

מקור: OpenNet.ru