Chrome 77 in Firefox 70 ne bosta več označevala razširjenih potrdil o preverjanju

Google sprejel odločitev opustiti ločeno označevanje certifikatov ravni EV (Extended Validation) v Chromu. Če je bilo prej za spletna mesta s podobnimi certifikati v naslovni vrstici prikazano ime podjetja, ki ga je potrdil certifikacijski center, zdaj za ta spletna mesta bo prikazano enak indikator varne povezave kot pri certifikatih s preverjanjem dostopa do domene.

Začenši s Chromom 77 bodo informacije o uporabi potrdil EV prikazane samo v spustnem meniju, prikazanem, ko kliknete ikono varne povezave. Leta 2018 je Apple sprejel podobno odločitev za brskalnik Safari in jo implementiral v izdajah iOS 12 in macOS 10.14. Spomnimo, EV certifikati potrjujejo navedene identifikacijske parametre in od certifikacijskega centra zahtevajo preverjanje dokumentov, ki potrjujejo lastništvo domene in fizično prisotnost lastnika vira.

Googlova študija je pokazala, da indikator, ki se je prej uporabljal za certifikate EV, ni zagotavljal pričakovane zaščite za uporabnike, ki niso bili pozorni na razliko in ga niso uporabili pri odločanju o vnosu občutljivih podatkov na straneh. Porabljeno v Googlu študija je pokazalo, da 85 % uporabnikov ni preprečilo vnosa poverilnic zaradi prisotnosti »accounts.google.com.amp.tinyurl.com« v URL vrstici namesto »accounts.google.com«, če je stran prikazovala tipičen Googlov vmesnik spletnega mesta.

Da bi vzbudili zaupanje v spletno stran pri večini uporabnikov, je bilo dovolj, da je bila stran podobna izvirniku. Posledično je bilo ugotovljeno, da pozitivni varnostni indikatorji niso učinkoviti in se je vredno osredotočiti na organizacijo izpisa eksplicitnih opozoril o težavah. Na primer, podobna shema je bila nedavno uporabljena za povezave HTTP, ki so jasno označene kot nevarne.

Hkrati informacije, prikazane za certifikate EV, zavzemajo preveč prostora v naslovni vrstici, lahko povzročijo dodatno zmedo ob prikazu imena podjetja v vmesniku brskalnika, poleg tega pa kršijo načelo nevtralnosti izdelka in rabljeni za lažno predstavljanje. Certifikacijski organ Symantec je na primer izdal potrdilo EV podjetju "Identity Verified", katerega ime je bilo zavajajoče za uporabnike, še posebej, če pravo ime javne domene ni ustrezalo naslovni vrstici:

Dodatek: Razvijalci Firefoxa sprejeto podobno rešitev in ne bo ločeno dodeljeval potrdil EV v zalogo naslovov od izdaje Firefoxa 70. V Firefoxu 70 bo tudi spremenjeno prikaz protokolov HTTPS in HTTP v naslovni vrstici.

Vir: opennet.ru