Firma Google zrezygnować z osobnego oznaczenia certyfikatów poziomu EV () w Chrome. Jeśli wcześniej dla stron z takimi certyfikatami w pasku adresu wyświetlana była nazwa zweryfikowanej przez urząd certyfikacji firmy, to teraz dla tych stron ten sam wskaźnik zabezpieczonego połączenia, co dla certyfikatów z weryfikacją dostępu do domeny.
Zaczynając od Chrome 77, informacje o zastosowaniu certyfikatów EV będą wyświetlane tylko w wyskakującym menu, które pojawia się po kliknięciu na ikonę zabezpieczonego połączenia. W 2018 roku podobne rozwiązanie przyjęła firma Apple dla przeglądarki Safari i wdrożyła je w wydaniach iOS 12 oraz macOS 10.14. Przypominamy, że certyfikaty EV potwierdzają zadeklarowane parametry identyfikacji i wymagają przeprowadzenia przez urząd certyfikacji weryfikacji dokumentów dotyczących przynależności domeny oraz fizycznej obecności właściciela zasobu.
Przeprowadzone przez Google badanie pokazało, że wcześniej stosowany wskaźnik dla certyfikatów EV nie zapewniał oczekiwanej ochrony użytkowników, którzy nie zwracali uwagi na różnice i nie wykorzystywali ich przy podejmowaniu decyzji o wprowadzaniu poufnych danych na stronach. Przeprowadzone przez Google pokazało, że 85% użytkowników nie powstrzymało od wprowadzania danych logowania obecność w pasku adresu URL „accounts.google.com.amp.tinyurl.com” zamiast „accounts.google.com”, w przypadku, gdy na stronie wyświetlany jest typowy dla strony Google interfejs.
Aby wzbudzić zaufanie do strony, dla większości użytkowników wystarczyło jedynie sprawić, aby strona wyglądała jak oryginał. W rezultacie wyciągnięto wniosek, że pozytywne wskaźniki bezpieczeństwa są nieefektywne i należy skupić się na organizacji jasnych ostrzeżeń o problemach. Na przykład, podobny schemat od niedawna stosowany jest dla połączeń HTTP, które są wyraźnie oznaczane jako niebezpieczne.
Jednocześnie wyświetlana dla certyfikatów EV informacja zajmuje zbyt dużo miejsca w pasku adresu, może prowadzić do dodatkowego zamieszania przy widoku nazwy firmy w interfejsie przeglądarki, a także narusza zasadę neutralności produktu i do phishingu. Na przykład, centrum certyfikacji Symantec wydało certyfikat EV firmie „Identity Verified”, którego nazwa wprowadzała użytkowników w błąd, szczególnie, gdy rzeczywista nazwa otwartej domeny nie mieściła się w pasku adresu:
Uzupełnienie: Programiści Firefoksa analogiczne rozwiązanie i nie będą osobno wyróżniać certyfikatów EV w pasku adresu od wersji Firefox 70. W Firefoksie 70 także będzie wyświetlanie protokołów HTTPS i HTTP w pasku adresu.
Źródło: opennet.ru
