Chrome 77 и Firefox 70 ќе престанат да означуваат сертификати за проширена потврда

Google донесе одлука откажете се од посебното обележување на сертификатите за ниво на EV (Напредно Валидација) во Хром. Ако претходно за сајтови со слични сертификати во лентата за адреси се прикажуваше името на компанијата потврдена од центарот за сертификација, сега за овие сајтови ќе бидат прикажани истиот индикатор за безбедна врска како и за сертификатите со верификација на пристап до домен.

Почнувајќи со Chrome 77, информациите за употребата на сертификатите за EV ќе се прикажуваат само во паѓачкото мени прикажано кога ќе кликнете на иконата за безбедно поврзување. Во 2018 година, Apple донесе слична одлука за прелистувачот Safari и ја имплементираше во изданијата на iOS 12 и macOS 10.14. Да потсетиме дека EV сертификатите ги потврдуваат наведените параметри за идентификација и бараат центар за сертификација да ги потврди документите што ја потврдуваат сопственоста на доменот и физичкото присуство на сопственикот на ресурсот.

Студијата на Google покажа дека индикаторот што претходно се користел за EV сертификатите не ја обезбедува очекуваната заштита за корисниците кои не обрнувале внимание на разликата и не го користеле при донесување одлуки за внесување чувствителни податоци на сајтовите. Потрошени на Google учат покажа дека 85% од корисниците не биле спречени да ги внесат нивните акредитиви со присуството во лентата за адреси на URL-то „accounts.google.com.amp.tinyurl.com“ наместо „accounts.google.com“, доколку страницата се прикажува типичен интерфејс на страницата на Google.

Со цел да се инспирира доверба во страницата кај повеќето корисници, доволно беше само да се направи страницата слична на оригиналот. Како резултат на тоа, беше заклучено дека позитивните безбедносни индикатори не се ефективни и вреди да се фокусираме на организирање на излезот од експлицитни предупредувања за проблеми. На пример, слична шема неодамна се користи за HTTP конекции кои се јасно означени како небезбедни.

Во исто време, информациите прикажани за EV сертификатите заземаат премногу простор во лентата за адреси, може да доведат до дополнителна забуна при гледањето на името на компанијата во интерфејсот на прелистувачот, а исто така го нарушуваат принципот на неутралност на производот и користат за фишинг. На пример, органот за сертификација на Symantec издаде сертификат за EV на компанијата „Identity Verified“, чие име беше погрешно за корисниците, особено кога вистинското име на јавниот домен не се вклопува во лентата за адреси:

Додаток: Програмери на Firefox прифатени слично решение и нема одделно да ги распределува EV сертификатите во адресниот фонд почнувајќи од објавувањето на Firefox 70. Во Firefox 70 исто така ќе има сменето прикажување на протоколите HTTPS и HTTP во лентата за адреси.

Извор: opennet.ru