Google de afschaffing van de aparte aanduiding van EV-certificaten () in Chrome. Voorheen werd de naam van het gecontroleerde bedrijf in de adresbalk weergegeven voor websites met dergelijke certificaten, maar nu zal voor deze websites Met Chrome 77 zal informatie over het gebruik van EV-certificaten alleen worden weergegeven in het dropdownmenu dat verschijnt bij het klikken op het beveiligde verbindingicoon. In 2018 nam Apple een soortgelijke beslissing voor de Safari-browser en implementeerde dit in de versies van iOS 12 en macOS 10.14. Laat ons herinneren dat EV-certificaten de opgegeven identificatieparameters bevestigen en vereisen dat de certificeringsinstantie documenten over de eigendom van het domein controleert en de fysieke aanwezigheid van de eigenaar van de bron bevestigt.
Onderzoek door Google heeft aangetoond dat de indicator die eerder voor EV-certificaten werd gebruikt niet de verwachte bescherming bood aan gebruikers die de verschillen niet opmerkten en deze niet gebruikten bij het nemen van beslissingen over het invoeren van gevoelige gegevens op websites. Het onderzoek dat door Google
is uitgevoerd, toonde aan dat 85% van de gebruikers niet werd gestopt door de aanwezigheid van de URL 'accounts.google.com.amp.tinyurl.com' in de adresbalk in plaats van 'accounts.google.com', als de pagina een typische Google-interface weergeeft. Om vertrouwen in de website te wekken, bleek voor de meeste gebruikers voldoende te zijn om de pagina op het origineel te laten lijken. Hieruit werd de conclusie getrokken dat positieve beveiligingsindicatoren niet effectief zijn en dat de focus moet liggen op het geven van duidelijke waarschuwingen over problemen. Een soortgelijk schema wordt de laatste tijd toegepast voor HTTP-verbindingen, die duidelijk als onveilig worden gemarkeerd.
De weergegeven informatie voor EV-certificaten neemt daarbij te veel ruimte in beslag in de adresbalk, kan leiden tot extra verwarring bij het zien van de bedrijfsnaam in de browserinterface, en verstoort ook het principe van productneutraliteit.
Bij EV-certificaten neemt de weergegeven informatie te veel ruimte in de adresbalk in, wat kan leiden tot extra verwarring bij het zien van de bedrijfsnaam in de browserinterface, en bovendien de neutraliteit van het product in gevaar brengt. voor phishing. Bijvoorbeeld, het certificaatbedrijf Symantec heeft een EV-certificaat uitgegeven aan het bedrijf 'Identity Verified', waarvan de naam gebruikers in verwarring bracht, vooral wanneer de echte naam van het open domein niet in de adresbalk paste:
Aanvulling: Ontwikkelaars van Firefox een soortgelijke oplossing en zullen EV-certificaten niet apart in de adresbalk benadrukken vanaf de release van Firefox 70. In Firefox 70 zal ook de weergave van de HTTPS- en HTTP-protocollen in de adresbalk.
Bron: opennet.ru
