Chrome 77 және Firefox 70 кеңейтілген растау сертификаттарын белгілеуді тоқтатады

Google шешім қабылдады EV деңгейі сертификаттарының бөлек таңбалануынан бас тарту (Кеңейтілген тексеру) Chrome жүйесінде. Егер бұрын ұқсас сертификаттары бар сайттар үшін мекенжай жолағында сертификаттау орталығы тексерген компанияның атауы көрсетілсе, енді бұл сайттар үшін көрсетіледі доменге кіруді растау бар сертификаттар сияқты қауіпсіз қосылымның бірдей көрсеткіші.

Chrome 77 нұсқасынан бастап EV сертификаттарын пайдалану туралы ақпарат қауіпсіз қосылым белгішесін басқан кезде ғана көрсетілетін ашылмалы мәзірде көрсетіледі. 2018 жылы Apple Safari браузері үшін осындай шешім қабылдады және оны iOS 12 және macOS 10.14 шығарылымдарында енгізді. Еске салайық, EV сертификаттары көрсетілген сәйкестендіру параметрлерін растайды және сертификаттау орталығынан домен иелігін және ресурс иесінің физикалық қатысуын растайтын құжаттарды тексеруді талап етеді.

Google зерттеуі EV сертификаттары үшін бұрын қолданылған индикатор айырмашылыққа назар аудармаған және сайттарға құпия деректерді енгізу туралы шешім қабылдаған кезде оны пайдаланбаған пайдаланушылар үшін күтілетін қорғанысты қамтамасыз етпейтінін көрсетті. Google-да жұмсалды зерттеу пайдаланушылардың 85%-ы тіркелгі деректерін енгізуді тоқтатпағанын көрсетті, егер бет көрсетілсе, URL мекенжай жолағында «accounts.google.com.amp.tinyurl.com» орнына «accounts.google.com.amp.tinyurl.com» болуы әдеттегі Google сайтының интерфейсі.

Көптеген пайдаланушылардың сайтқа деген сенімін ояту үшін бетті түпнұсқаға ұқсас етіп жасау жеткілікті болды. Нәтижесінде қауіпсіздіктің оң көрсеткіштері тиімді емес және проблемалар туралы нақты ескертулерді шығаруды ұйымдастыруға назар аудару керек деген қорытындыға келді. Мысалы, жақын арада қауіпті деп анық белгіленген HTTP қосылымдары үшін ұқсас схема қолданылды.

Сонымен қатар, EV сертификаттары үшін көрсетілетін ақпарат мекенжай жолағында тым көп орын алады, браузер интерфейсінде компания атауын көргенде қосымша шатасуға әкелуі мүмкін, сондай-ақ өнімнің бейтараптығы қағидасын бұзады және пайдаланылады фишинг үшін. Мысалы, Symantec сертификаттау орталығы «Identity Verified» компаниясына EV сертификатын берді, оның аты пайдаланушыларды жаңылыстырды, әсіресе қоғамдық доменнің нақты атауы мекенжай жолағына сәйкес келмегенде:

Қосымша: Firefox әзірлеушілері қабылдады ұқсас шешім және Firefox 70 шығарылымынан бастап мекенжай қорында EV сертификаттарын бөлек бөлмейді. Firefox 70-де де болады. өзгерді мекенжай жолағында HTTPS және HTTP протоколдарын көрсету.

Ақпарат көзі: opennet.ru