Chrome 77 жана Firefox 70 кеңейтилген текшерүү тастыктамаларын белгилөөнү токтотот

Google бар Мен чечтим EV деңгээлиндеги сертификаттарды өзүнчө белгилөөдөн баш тартуу (Кеңейтилген текшерүү) Chrome'до. Эгерде буга чейин окшош сертификаттары бар сайттар үчүн дарек тилкесинде сертификаттоо борбору тарабынан текшерилген компаниянын аталышы көрсөтүлсө, эми бул сайттар үчүн көрсөтүлөт доменге кирүү текшерүүсү бар сертификаттардагыдай эле коопсуз туташуунун көрсөткүчү.

Chrome 77ден баштап, коопсуз туташуу сөлөкөтүн чыкылдатканыңызда, EV тастыктамаларын колдонуу жөнүндө маалымат ылдый түшүүчү менюда гана көрсөтүлөт. 2018-жылы Apple ушундай эле чечимди Safari браузери үчүн кабыл алып, аны iOS 12 жана macOS 10.14 релиздеринде ишке ашырган. Эске сала кетсек, EV сертификаттары көрсөтүлгөн идентификациялык параметрлерди тастыктайт жана доменге ээлик кылууну жана ресурстун ээсинин физикалык катышуусун тастыктаган документтерди текшерүү үчүн сертификация борборун талап кылат.

Google изилдөөсү EV сертификаттары үчүн мурда колдонулган индикатор айырмага көңүл бурбаган жана сайттарга купуя маалыматтарды киргизүү боюнча чечим кабыл алууда аны колдонбогон колдонуучулар үчүн күтүлгөн коргоону камсыз кылбаганы аныкталган. Google'да сарпталган окуу колдонуучулардын 85% URL даректер тилкесинде "accounts.google.com.amp.tinyurl.com" болушу менен алардын эсептик дайындарын киргизүү токтотулбагандыгын көрсөттү, эгерде баракча көрсөтүлсө "accounts.google.com" ордуна типтүү Google сайт интерфейси.

Көпчүлүк колдонуучулардын сайтка болгон ишенимин ойготуу үчүн, баракчаны оригиналдууга окшош кылуу жетиштүү болду. Жыйынтыгында коопсуздуктун оң көрсөткүчтөрү эффективдүү эмес жана көйгөйлөр боюнча ачык эскертүүлөрдү чыгарууну уюштурууга көңүл буруу зарыл деген тыянак чыгарылды. Мисалы, ушуга окшош схема жакында эле кооптуу деп белгиленген HTTP туташуулар үчүн колдонулган.

Ошол эле учурда, EV сертификаттары үчүн көрсөтүлгөн маалымат дарек тилкесинде өтө көп орунду ээлейт, браузердин интерфейсинде компаниянын атын көрүүдө кошумча башаламандыкка алып келиши мүмкүн, ошондой эле продукттун бейтараптуулук принцибин бузат жана колдонулган фишинг үчүн. Мисалы, Symantec сертификаттоо органы "Identity Verified" компаниясына EV сертификатын берген, анын аты колдонуучуларды адаштырган, өзгөчө коомдук домендин чыныгы аты дарек тилкесине туура келбеген учурда:

Кошумча: Firefox Developers алып, окшош чечим жана Firefox 70 чыккандан баштап дарек фондусунда EV сертификаттары өзүнчө бөлүнбөйт. Firefox 70де дагы болот өзгөрдү дарек тилкесинде HTTPS жана HTTP протоколдорун көрсөтүү.

Source: opennet.ru