Pārlūkā Chrome 77 un Firefox 70 vairs netiks atzīmēti paplašinātās verifikācijas sertifikāti

Google pieņēma lēmumu atteikties no atsevišķas EV līmeņa sertifikātu marķēšanas (Extended Validation) pārlūkprogrammā Chrome. Ja iepriekš vietnēm ar līdzīgiem sertifikātiem adreses joslā tika rādīts sertifikācijas centra verificētā uzņēmuma nosaukums, tad tagad šīm vietnēm tiks parādīts tas pats droša savienojuma indikators kā sertifikātiem ar domēna piekļuves verifikāciju.

Sākot ar Chrome 77, informācija par EV sertifikātu izmantošanu tiks parādīta tikai nolaižamajā izvēlnē, kas tiek parādīta, noklikšķinot uz droša savienojuma ikonas. 2018. gadā Apple pieņēma līdzīgu lēmumu par pārlūkprogrammu Safari un ieviesa to iOS 12 un macOS 10.14 laidienos. Atgādināsim, ka EV sertifikāti apstiprina norādītos identifikācijas parametrus un pieprasa sertifikācijas centram pārbaudīt dokumentus, kas apliecina domēna īpašumtiesības un resursa īpašnieka fizisko klātbūtni.

Google pētījums atklāja, ka iepriekš EV sertifikātiem izmantotais indikators nenodrošina gaidīto aizsardzību lietotājiem, kuri nepievērsa uzmanību atšķirībai un neizmantoja to, pieņemot lēmumus par sensitīvu datu ievadīšanu vietnēs. Iztērēts Google tīklā pētījums parādīja, ka 85% lietotāju netraucēja ievadīt savus akreditācijas datus, jo adreses joslā URL ir “accounts.google.com.amp.tinyurl.com”, nevis “accounts.google.com”, ja lapā tiek rādīts tipiska Google vietnes saskarne.

Lai vairumā lietotāju radītu uzticību vietnei, pietika tikai padarīt lapu līdzīgu oriģinālam. Rezultātā tika secināts, ka pozitīvie drošības rādītāji nav efektīvi un ir vērts koncentrēties uz tiešu brīdinājumu izvades organizēšanu par problēmām. Piemēram, līdzīga shēma nesen tika izmantota HTTP savienojumiem, kas ir skaidri atzīmēti kā nedroši.

Tajā pašā laikā EV sertifikātiem attēlotā informācija aizņem pārāk daudz vietas adreses joslā, var radīt papildu neskaidrības, pārlūkprogrammas saskarnē redzot uzņēmuma nosaukumu, kā arī pārkāpj produkta neitralitātes principu un lietots par pikšķerēšanu. Piemēram, Symantec sertifikācijas iestāde uzņēmumam “Identity Verified” izsniedza EV sertifikātu, kura nosaukums maldināja lietotājus, it īpaši, ja publiskā domēna īstais nosaukums neietilpa adreses joslā:

Papildinājums: Firefox izstrādātāji pieņemts līdzīgu risinājumu un atsevišķi nepiešķirs EV sertifikātus adrešu krājumā, sākot ar Firefox 70 izlaišanu. Firefox 70 būs arī mainīts HTTPS un HTTP protokolu parādīšana adreses joslā.

Avots: opennet.ru