I Chrome 77 och Firefox 70 kommer märkningen av certifikat med utökad verifiering att upphöra.

Google har fattat beslut avstå från separat märkning av EV-certifikat (Utökad validering) i Chrome. Tidigare visades namnet på det verifierade företaget i adressfältet för webbplatser med sådana certifikat, men nu kommer dessa webbplatser att visas med samma indikator för säker anslutning som för certifikat med domänverifiering.

Från och med Chrome 77 kommer informationen om användning av EV-certifikat endast att visas i rullgardinsmenyn som visas när man klickar på ikonen för säker anslutning. 2018 tog Apple en liknande beslut för webbläsaren Safari och införde den i versionerna iOS 12 och macOS 10.14. Låt oss påminna om att EV-certifikat bekräftar de angivna identifieringsparametrarna och kräver att certifieringsorganet kontrollerar domäntillhörighetsdokument och att ägaren av resursen är fysiskt närvarande.

En undersökning som genomfördes av Google visade att den tidigare indikatorn för EV-certifikat inte gav det förväntade skyddet för användarna, som inte uppmärksammade skillnaden och inte använde den vid beslut om att ange konfidentiell information på webbplatser. En undersökning som genomfördes av Google undersökning visade att 85 % av användarna inte hindrades från att ange sina uppgifter av att URL:en i adressfältet var «accounts.google.com.amp.tinyurl.com» istället för «accounts.google.com», om sidan visade ett typiskt gränssnitt för Google.

För att skapa förtroende för webbplatsen räckte det för de flesta användare att göra sidan liknande originalet. Som ett resultat drogs slutsatsen att positiva säkerhetsindikatorer inte är effektiva och att man bör fokusera på att tydligt visa varningar om problem. Till exempel har en liknande strategi nyligen tillämpats för HTTP-anslutningar, som klart märkts som osäkra.

Samtidigt tar den information som visas för EV-certifikat upp för mycket plats i adressfältet, vilket kan leda till ytterligare förvirring när företagets namn visas i webbläsarens gränssnitt, samt bryter mot principen om produktneutralitet och funktionen unix_crypt, som tar emot det lösenord som användaren anger utan att utföra escape av specialtecken. I git-repositoriet för phishing. Till exempel utfärdade certifieringsmyndigheten Symantec ett EV-certifikat till företaget “Identity Verified”, vars namn vilseledde användarna, särskilt när det verkliga namnet på den öppna domänen inte fick plats i adressfältet:

Tillägg: Utvecklarna av Firefox har antagit en liknande lösning och kommer inte att särskilja EV-certifikat i adressfältet från och med version 70 av Firefox. I Firefox 70 kommer också visningen av protokollen HTTPS och HTTP i adressfältet att ändras.

Källa: opennet.ru