Spoločnosť Google vzdať sa samostatného označenia certifikátov úrovne EV () v Chrome. Kým predtým sa pri webových stránkach s takýmito certifikátmi v adresnom riadku zobrazoval názov overenej spoločnosti certifikačným autorom, teraz sa na týchto stránkach ten istý indikátor zabezpečeného spojenia, aký používajú certifikáty s overením prístupu k doméne.
Od verzie Chrome 77 sa informácie o používaní EV certifikátov budú zobrazovať iba v rozbaľovacej ponuke, ktorá sa zobrazí po kliknutí na ikonu zabezpečeného spojenia. V roku 2018 podobné rozhodnutie prijala spoločnosť Apple pre prehliadač Safari a implementovala ho vo verziách iOS 12 a macOS 10.14. Pripomeňme, že EV certifikáty potvrdzujú deklarované identifikačné parametre a vyžadujú od certifikačného autority kontrolu dokumentov týkajúcich sa vlastníctva domény a fyzickú prítomnosť vlastníka zdroja.
Prieskum uskutočnený spoločnosťou Google ukázal, že predtým používaný indikátor pre EV certifikáty neposkytoval očakávanú ochranu používateľom, ktorí si nevšimli rozdiel a nepoužívali ho pri rozhodovaní o zadávaní citlivých údajov na webových stránkach. Prieskum uskutočnený spoločnosťou Google ukázal, že 85% používateľov neodradil od zadania prihlasovacích údajov prítomnosť URL „accounts.google.com.amp.tinyurl.com“ miesto „accounts.google.com“, ak sa na stránke zobrazuje typické rozhranie pre Google.
Na to, aby sa získala dôvera k stránke, väčšine používateľov stačilo, aby stránka vyzerala podobne ako pôvodná. Výsledkom bolo zistenie, že pozitívne indikátory bezpečnosti nie sú efektívne a je potrebné sústrediť sa na organizáciu zobrazenia jasných varovaní o problémoch. Napríklad, takýto systém sa nedávno začal používať pre HTTP pripojenia, ktoré sú jasne označované ako nezabezpečené.
Zobrazovaná informácia pre EV certifikáty zaberá príliš veľa miesta v adresnom riadku, môže tiež viesť k dodatočnému zmäteniu pri pohľade na názov spoločnosti v rozhraní prehliadača, a narušuje aj princíp neutrality produktu a na phishing. Napríklad, certifikačná autorita Symantec vydala EV certifikát spoločnosti „Identity Verified“, pričom názov, ktorý uvádzala, zavádzal používateľov, najmä keď skutočné meno otvorenej domény sa nezmestilo do adresného riadka:
Doplnok: Vývojári Firefoxu rovnaké riešenie a nebudú samostatne vyčleňovať EV certifikáty v adresnom riadku začínajúc s vydaním Firefox 70. Vo Firefox 70 bude tiež zobrazenie protokolov HTTPS a HTTP v adresnom riadku.
Zdroj: opennet.ru
