Войти
Сертификат расширенной проверки (EV) - это сертификат, соответствующий X.509, подтверждающий юридическое лицо владельца и подписанный ключом центра сертификации, который может выдавать сертификаты EV. Сертификаты EV могут использоваться так же, как и любые другие сертификаты X.509, включая защиту веб связи с помощью HTTPS и подписание программного обеспечения и документов. В отличие от подтвержденных доменом сертификатов и подтвержденных организацией сертификатов, сертификаты EV могут быть выпущены только подмножеством центров сертификации (ЦС) и требуют проверки запрашивающих юридическое лицо до выдачи сертификата.
К сентябрю 2020 г. веб-браузеры Google Chrome, Mozilla Firefox и Apple Safari будут отображать подтвержденную юридическую личность в пользовательском интерфейсе информации о сертификатах. До августа 2019 года они отображали «зеленую полосу» рядом с URL-адресом или вместо него (Safari). Мобильные браузеры обычно отображают сертификаты EV так же, как сертификаты DV и OV. Из десяти самых популярных веб-сайтов в Интернете ни один из них не использует сертификаты EV, и тенденция к их использованию не наблюдается.
Для программного обеспечения подтвержденная юридическая личность отображается пользователю с помощью операционная система (например, Microsoft Windows), прежде чем продолжить установку.
Сертификаты расширенной проверки хранятся в формате файла, заданном и обычно используют то же шифрование, что и сертификаты, проверенные организацией и сертификаты, проверенные доменом, поэтому они совместимы с большинством серверных программ и программных агентов.
Критерии для выдачи сертификатов EV определены в Руководстве по расширенной проверке, опубликованном CA / Browser Forum, добровольной организацией, членами которой являются ведущие центры сертификации и поставщики программного обеспечения для Интернета, а также представители юридических и аудиторских специальностей.
Для выдачи сертификата расширенной проверки ЦС требует проверки личности запрашивающего объекта и его рабочего статуса с его контролем над доменным именем и хост-сервером.
В 2005 году Мелих Абдулхайоглу, генеральный директор Comodo Group, созвал первое собрание организации, которая стала CA / Browser Forum, в надежде улучшить стандарты выдачи сертификатов SSL / TLS. 12 июня 2007 г. CA / Browser Forum официально ратифицировал первую версию Руководства по расширенной проверке (EV) SSL, которая немедленно вступила в силу. Официальное одобрение положило конец более чем двухлетним усилиям и предоставило инфраструктуру для надежной идентификации веб-сайтов в Интернете. Затем, в апреле 2008 года, форум объявил о версии 1.1 руководящих принципов, основанной на практическом опыте своих членов CA и поставщиков прикладного программного обеспечения проверяющей стороны, накопленном за несколько месяцев с момента утверждения первой версии для использования.
Большинство основных браузеров создали специальные индикаторы пользовательского интерфейса для страниц, загружаемых через HTTPS, защищенных сертификатом EV, вскоре после создания стандарта. Сюда входят Microsoft Edge 12, Google Chrome 1.0, Internet Explorer 7.0, Firefox 3, Safari 3.2, Opera 9.5. Кроме того, некоторые мобильные браузеры, включая Safari для iOS, Windows Phone, Firefox для Android, Chrome для Android и iOS, добавили такие индикаторы пользовательского интерфейса. Обычно браузеры с поддержкой EV отображают подтвержденную личность - обычно комбинацию названия организации и юрисдикции - содержащуюся в поле «Тема» сертификата EV.
В большинстве реализаций расширенное отображение включает:
Щелкнув значок замка, пользователь может получить дополнительную информацию о сертификате, включая имя центра сертификации, выдавшего сертификат EV.
В августе 2019 года браузеры Google Chrome 76 и Firefox 70 объявили о планах по переработке пользовательских интерфейсов, чтобы убрать акцент на сертификатах EV. Firefox 70 удалил различие в омнибоксе или строке URL (сертификаты EV и DV отображаются аналогично только значком замка), но подробные сведения о статусе сертификата EV доступны в более подробном представлении, которое открывается после нажатия на значок замка.
Важной мотивацией для использования цифровых сертификатов с SSL / TLS было повышение доверия к онлайн-транзакциям, требуя от операторов веб-сайтов прохождения проверки в центре сертификации (ЦС) для получения сертификата.
Однако коммерческое давление вынудило некоторые центры сертификации ввести сертификаты ", подтвержденные доменом ". Сертификаты, подтвержденные доменом, существовали до стандартов проверки и обычно требуют лишь некоторого подтверждения контроля домена. В частности, сертификаты, подтвержденные доменом, не подтверждают, что данное юридическое лицо имеет какие-либо отношения с доменом, хотя домен может напоминать конкретное юридическое лицо.
В прошлом в пользовательских интерфейсах большинства браузеров не проводилось четкой разграничения между сертификатами с низкой проверкой и сертификатами, прошедшими более тщательную проверку. Поскольку любое успешное соединение SSL / TLS приведет к появлению зеленого значка замка в большинстве браузеров, пользователи вряд ли будут знать, подтвержден ли владелец веб-сайта или нет. В результате мошенники (в том числе фишинговые веб-сайты) могут использовать TLS, чтобы повысить доверие к своим веб-сайтам. Пользователи современных браузеров всегда могут проверить личность владельцев сертификатов, изучив детали выпущенного сертификата, который всегда указывает информацию о владельце сертификата, такую как название организации и ее местонахождение.
Сертификаты EV проверяются на соответствие как базовым требованиям, так и требованиям расширенной проверки, которые накладывают дополнительные требования на то, как власти проверяют компании. Сюда входят ручные проверки всех доменных имен, запрошенных заявителем, проверки по официальным правительственным источникам, проверки по независимым источникам информации и телефонные звонки в компанию для подтверждения позиции заявителя. Если сертификат принят, зарегистрированный государством серийный номер предприятия, а также его физический адрес сохраняются в сертификате EV.
Устанавливая более строгие критерии выдачи и требуя последовательного применения этих критериев всеми участвующими центрами сертификации, сертификаты EV предназначены для восстановления уверенности среди пользователей в том, что оператор веб-сайта является юридически учрежденным бизнесом или организацией с поддающейся проверке идентичностью.
Тем не менее, все еще существует опасение, что такое же отсутствие подотчетности, которое привело к потере общественного доверия к подтвержденным доменом сертификатам, приведет к слабой практике сертификации, которая подорвет ценность сертификатов EV.
Только центры сертификации, прошедшие независимую квалифицированную аудиторскую проверку, могут предлагать EV, и все центры сертификации во всем мире должны соблюдать одни и те же подробные требования к выдаче, которые направлены на:
За исключением сертификатов расширенной проверки для .onion, иначе получить подстановочный знак сертификат расширенной проверки невозможно - вместо этого все полностью определенные доменные имена должны быть включены в сертификат и проверены центром сертификации.
Сертификаты EV являются стандартными цифровыми сертификатами X.509. Основной способ идентифицировать сертификат EV - обратиться к полю расширения политик сертификатов. Каждый эмитент использует свой идентификатор объекта (OID) в этом поле для идентификации своих сертификатов EV, и каждый OID задокументирован в Положении о практике сертификации эмитента. Как и в случае с корневыми центрами сертификации, браузеры могут не распознавать всех издателей.
HTTPS-сертификаты EV содержат субъект с идентификаторами OID X.509 для юрисдикцияOfIncorporationCountryName(OID: 1.3.6.1.4.1.311.60.2.1.3), юрисдикцияOfIncorporationStateOrProvinceName(OID : 1.3.6.1.4.1.311.60.2.1.2) (необязательно), юрисдикцияLocalityName(OID: 1.3.6.1.4.1.311.60.2.1.1) (необязательно), businessCategory(OID: 2.5.4.15) и серийный номер(OID: 2.5.4.5), где серийный номеруказывает на идентификатор у соответствующего государственного секретаря (США) или государственного регистратора предприятий ( за пределами США), а также идентификатор политики для конкретного центра сертификации, чтобы программное обеспечение, поддерживающее электромобили, например веб-браузер, могло их распознать. Этот идентификатор определяет сертификат EV и отличается от сертификата OV.
Критерии выдачи сертификатов расширенной проверки не требуют, чтобы выдающие центры сертификации немедленно поддерживали онлайн-протокол статуса сертификатов для проверки отзыва. Однако требование своевременного ответа на проверки отзыва со стороны браузера побудило большинство центров сертификации, которые раньше этого не делали, реализовать поддержку OCSP. Раздел 26-A критериев выдачи требует, чтобы центры сертификации поддерживали проверку OCSP для всех сертификатов, выпущенных после 31 декабря 2010 г.
Юридическое лицо имена не уникальны, поэтому злоумышленник, который хочет выдать себя за сущность, может зарегистрировать другой бизнес с тем же именем (но, например, в другом штате или стране) и получить для него действительный сертификат, но затем использовать сертификат для выдачи себя исходный сайт. В ходе одной демонстрации исследователь зарегистрировал компанию под названием «Stripe, Inc.». в Кентукки и показали, что браузеры отображают его аналогично тому, как они отображают сертификат платежной системы «Stripe, Inc. », зарегистрированной в Делавэр. Исследователь утверждал, что демонстрационная установка заняла около часа его времени, 100 долларов США на судебные издержки и 77 долларов США на сертификат. Кроме того, он отметил, что «с достаточным количеством щелчков мыши [пользователь] может [просмотреть] город и штат [где учреждена организация], но ни один из них не полезен для обычного пользователя, и они, скорее всего, будут просто слепо доверять индикатор [сертификат EV] ".
Поскольку сертификаты EV продвигаются и сообщаются как знак заслуживающего доверия веб-сайта, некоторые владельцы малого бизнеса выразили обеспокоенность тем, что сертификаты EV дают неоправданное преимущество крупному бизнесу. Опубликованные проекты Руководства по электромонтажу исключили некорпоративные коммерческие предприятия, и первые сообщения в СМИ были сосредоточены на этом вопросе. Версия 1.0 Руководства по EV была пересмотрена, чтобы охватить некорпоративные ассоциации, если они были зарегистрированы в признанном агентстве, что значительно увеличило количество организаций, которые имеют право на получение сертификата расширенной проверки. Список сертификатов EV с ценой и сравнением характеристик доступен для малого бизнеса, чтобы выбрать экономичный сертификат.
В 2006 году исследователи из Стэнфордского университета и Microsoft Research провели исследование удобства использования дисплея EV. в Internet Explorer 7. В их документе сделан вывод, что «участники, которые не прошли обучение функциям безопасности браузера, не заметили индикатор расширенной проверки и не превзошли контрольную группу», тогда как «участники, которых попросили прочитать файл справки Internet Explorer, с большей вероятностью классифицировали как реальные и поддельные сайты как законные ".
Хотя сторонники сертификатов EV заявляют, что они помогают против фишинговых атак, эксперт по безопасности Питер Гутманн утверждает новый класс сертификатов восстанавливают прибыль ЦС, которая была подорвана из-за гонки вниз, которая произошла среди эмитентов в отрасли. Гутманн называет это явление «PKI-Me-Harder».
Введение... так называемых сертификатов с высоким уровнем достоверности или расширенной проверки (EV), которые позволяют центрам сертификации взимать за них больше, чем стандартные, - это просто случай округления в два раза большего числа подозреваемых - предположительно, кто-то собирается быть впечатленным, но эффект от фишинга минимален, так как он не решает никаких проблем, которыми пользуются фишеры. В самом деле, циники сказали бы, что это была именно та проблема, которую сертификаты и центры сертификации должны были решить в первую очередь, и что сертификаты с высокой степенью надежности - это всего лишь способ вторичной оплаты существующей услуги. Несколько лет назад сертификаты все еще стоили несколько сотен долларов, но теперь, когда смещение базовой линии цен и качества сертификатов приблизилось к точке, где их можно было получить за 9,95 долларов (или даже совсем бесплатно), крупным коммерческим центрам сертификации пришлось изобретать заново. сами, определив новый стандарт и убедив рынок вернуться к ценам, заплаченным в старые добрые времена.
Этот повторяющийся «дежавю» подход можно увидеть, изучив заявление Verisign о практике сертификации (CPS), документ, регулирующий выдачу сертификатов. Требования безопасности в сертификате EV 2008 CPS (за исключением незначительных различий в юридическом языке, используемом для их выражения) практически идентичны требованиям для сертификатов класса 3, перечисленным в Verisign версии 1.0 CPS с 1996 года. Сертификаты EV просто откатывают часы до подход, который уже потерпел неудачу в первый раз, когда он был опробован в 1996 году, когда в качестве побочного эффекта был изменен сдвиг базовой линии и начислены цены 1996 года. Были даже предложения относительно своего рода подхода к оценке стоимости сертификатов по принципу скользящего окна, при котором, поскольку неизбежная гонка за дно удешевляет эффективную ценность установленных классов сертификатов, они рассматриваются как все менее и менее эффективные со стороны программного обеспечения, использующего их…
