Сертификат расширенной проверки (EV) — это сертификат, соответствующий X.509 , который подтверждает юридическую сущность владельца и подписан ключом центра сертификации , который может выдавать сертификаты EV. Сертификаты EV можно использовать так же, как и любые другие сертификаты X.509, включая защиту веб -коммуникаций с помощью HTTPS и подписание программного обеспечения и документов. В отличие от сертификатов с проверкой домена и сертификатов проверки организации , сертификаты EV могут выдаваться только подмножеством центров сертификации (CA) и требуют проверки юридической идентичности запрашивающей организации перед выдачей сертификата.
По состоянию на февраль 2021 года все основные веб-браузеры (Google Chrome, Mozilla Firefox, Microsoft Edge и Apple Safari) имеют меню, которые показывают статус EV сертификата и проверенную юридическую идентичность сертификатов EV. Мобильные браузеры обычно отображают сертификаты EV так же, как они отображают сертификаты проверки домена (DV) и проверки организации (OV). Из десяти самых популярных веб-сайтов в Интернете ни один не использует сертификаты EV, и тенденция к их использованию отходит. [1]
Для программного обеспечения проверенная юридическая идентификация отображается пользователю операционной системой (например, Microsoft Windows) перед продолжением установки.
Сертификаты расширенной проверки хранятся в формате файла, указанном , и обычно используют то же шифрование , что и сертификаты, проверенные организацией , и сертификаты, проверенные доменом , поэтому они совместимы с большинством серверного и пользовательского программного обеспечения.
Критерии выдачи сертификатов EV определены в Руководстве по расширенной проверке, разработанном CA/Browser Forum . [2]
Для выдачи расширенного сертификата проверки центр сертификации требует проверки личности запрашивающего субъекта и его операционного статуса с учетом его контроля над доменным именем и хостинг-сервером.
В 2005 году Мелих Абдулхайоглу , генеральный директор Comodo Group ( в настоящее время известной как Xcitium ), созвал первое заседание организации, которая стала CA/Browser Forum , надеясь улучшить стандарты выдачи сертификатов SSL/TLS. [3] 12 июня 2007 года CA/Browser Forum официально ратифицировал первую версию Extended Validation (EV) SSL Guidelines, которая вступила в силу немедленно. Формальное одобрение успешно завершило более чем двухлетние усилия и предоставило инфраструктуру для доверенной идентификации веб-сайтов в Интернете. Затем, в апреле 2008 года, форум анонсировал версию 1.1 руководящих принципов, основанную на практическом опыте своих членов CA и поставщиков программного обеспечения для проверяющих сторон , накопленном за месяцы с момента одобрения первой версии для использования.
Большинство основных браузеров создали специальные индикаторы пользовательского интерфейса для страниц, загружаемых через HTTPS, защищенных сертификатом EV, вскоре после создания стандарта. К ним относятся Google Chrome 1.0, Internet Explorer 7.0, Firefox 3, Safari 3.2, Opera 9.5. [4] Кроме того, некоторые мобильные браузеры, включая Safari для iOS, Windows Phone, Firefox для Android, Chrome для Android и iOS, добавили такие индикаторы пользовательского интерфейса. Обычно браузеры с поддержкой EV отображают проверенную идентификацию — обычно комбинацию названия организации и юрисдикции — содержащуюся в поле «субъект» сертификата EV.
В большинстве реализаций улучшенный дисплей включает в себя:
Нажав на символ замка, пользователь может получить дополнительную информацию о сертификате, включая название центра сертификации, выдавшего сертификат EV.
В мае 2018 года Google объявила о планах по переработке пользовательских интерфейсов Google Chrome для устранения акцента на сертификатах EV. [5] Chrome 77, выпущенный в 2019 году, удалил указание сертификата EV из омнибокса, но статус сертификата EV можно просмотреть, нажав на значок замка, а затем проверив имя юридического лица, указанное как «выдан» в разделе «сертификат». [6] Firefox 70 удалил различие в омнибоксе или строке URL (сертификаты EV и DV отображаются аналогично только со значком замка), но сведения о статусе сертификата EV доступны в более подробном представлении, которое открывается после нажатия на значок замка. [7]
Apple Safari на iOS 12 и MacOS Mojave (выпущен в сентябре 2018 года) убрал визуальное различие статуса EV. [1]
Только центры сертификации, прошедшие независимую квалифицированную аудиторскую проверку, могут предлагать EV, [8] и все центры сертификации во всем мире должны следовать тем же подробным требованиям к выпуску, которые направлены на:
За исключением [9] расширенных сертификатов проверки для доменов .onion , получить подстановочный расширенный сертификат проверки невозможно — вместо этого все полностью квалифицированные доменные имена должны быть включены в сертификат и проверены центром сертификации. [10]
Сертификаты EV являются стандартными цифровыми сертификатами X.509. Основной способ идентификации сертификата EV — ссылка на поле расширения политики сертификата (CP). Поле идентификатора объекта CP (OID) каждого сертификата EV идентифицирует сертификат EV. OID EV форума CA/Browser — 2.23.140.1.1. [11] Другие OID EV могут быть задокументированы в Заявлении о практике сертификации эмитента. Как и в случае с корневыми центрами сертификации в целом, браузеры могут не распознавать всех эмитентов.
Сертификаты EV HTTPS содержат субъект с идентификаторами OID X.509 для jurisdictionOfIncorporationCountryName(OID: 1.3.6.1.4.1.311.60.2.1.3), [12] jurisdictionOfIncorporationStateOrProvinceName (OID: 1.3.6.1.4.1.311.60.2.1.2) (необязательно), [13]jurisdictionLocalityName (OID: 1.3.6.1.4.1.311.60.2.1.1) (необязательно), [14] businessCategory (OID: 2.5.4.15) [15] и serialNumber(OID: 2.5.4.5), [16] с serialNumberуказанием идентификатора у соответствующего секретаря штата (США) или государственного регистратора предприятий (за пределами США) [ требуется ссылка ] .
Критерии выпуска сертификатов Extended Validation не требуют от выдающих центров сертификации немедленной поддержки Online Certificate Status Protocol для проверки отзыва. Однако требование своевременного ответа на проверки отзыва браузером побудило большинство центров сертификации, которые ранее этого не делали, внедрить поддержку OCSP. Раздел 26-A критериев выпуска требует от центров сертификации поддерживать проверку OCSP для всех сертификатов, выданных после 31 декабря 2010 г.
Названия юридических лиц не являются уникальными, поэтому злоумышленник, который хочет выдать себя за организацию, может зарегистрировать другую компанию с тем же названием (но, например, в другом штате или стране) и получить действительный сертификат для нее, но затем использовать сертификат, чтобы выдать себя за оригинальный сайт. В одной из демонстраций исследователь зарегистрировал компанию под названием «Stripe, Inc.» в Кентукки и показал, что браузеры отображают ее так же, как они отображают сертификат платежного процессора « Stripe, Inc. », зарегистрированного в Делавэре . Исследователь заявил, что настройка демонстрации заняла около часа его времени, 100 долларов США на судебные издержки и 77 долларов США за сертификат. Он также отметил, что «при достаточном количестве щелчков мыши [пользователь] может [просмотреть] город и штат [где зарегистрирована организация], но ни один из этих вариантов не полезен для обычного пользователя, и он, скорее всего, просто слепо доверится индикатору [сертификата EV]». [17]
Поскольку сертификаты EV продвигаются и сообщаются [18] как знак заслуживающего доверия веб-сайта, некоторые владельцы малого бизнеса выразили обеспокоенность [19] , что сертификаты EV дают неправомерное преимущество крупным предприятиям. Опубликованные проекты Руководства EV [20] исключали некорпоративные коммерческие организации, и ранние сообщения в СМИ [19] были сосредоточены на этом вопросе. Версия 1.0 Руководства EV была пересмотрена, чтобы охватить некорпоративные ассоциации, если они были зарегистрированы в признанном агентстве, что значительно увеличило число организаций, которые имели право на Сертификат расширенной проверки.
В 2006 году исследователи из Стэнфордского университета и Microsoft Research провели исследование удобства использования [21] отображения EV в Internet Explorer 7. В их статье сделан вывод о том, что «участники, не прошедшие обучение по функциям безопасности браузера, не заметили расширенный индикатор проверки и не превзошли контрольную группу», тогда как «участники, которым было предложено прочитать файл справки Internet Explorer, с большей вероятностью классифицировали как реальные, так и поддельные сайты как легитимные».
В то время как сторонники сертификатов EV утверждают, что они помогают от фишинговых атак, [22] эксперт по безопасности Питер Гутманн утверждает, что новый класс сертификатов восстанавливает прибыль CA, которая была подорвана из-за гонки ко дну , которая произошла среди эмитентов в отрасли. По словам Питера Гутмана, сертификаты EV неэффективны против фишинга, поскольку сертификаты EV «не устраняют никаких проблем, которые используют фишеры». Он предполагает, что крупные коммерческие CA ввели сертификаты EV, чтобы вернуть старые высокие цены. [23]
Универсальные сертификаты не допускаются для сертификатов EV.
Цветная адресная строка — новое оружие в борьбе с фишинговыми атаками — призвана служить знаком того, что сайту можно доверять, давая веб-серферам зеленый свет для совершения там транзакций.