ईवी प्रमाणपत्र मृत हैं

यह सब, मैंने यह कहा है: विस्तारित मान्यता के प्रमाण पत्र मृत हैं। बेशक, आप अभी भी उन्हें खरीद सकते हैं (और कुछ कंपनियां आपको खुशी के साथ उन्हें बेच देंगी!), लेकिन उनका लाभ अब "मुश्किल" से घटकर "शून्य" हो गया है। मोबाइल उपकरणों की बढ़ती लोकप्रियता, ब्राउज़रों से दृश्य EV संकेतक को हटाने, iOS (साथ ही साथ MacOS Mojave से) सहित कई कारकों में परिवर्तन हुआ है:



चित्रण के लिए, मैंने कोमोडो वेबसाइट को चुना, क्योंकि उन्होंने ईवी को बेचने से जुड़ी ऐसी निराशा दिखाई थी, ठीक एक महीने पहले उन्होंने मुझे एक शीर्षक पत्र भेजा था जिसमें लिखा था "अपनी वेबसाइट के लिए ग्रीन एड्रेस बार कैसे प्राप्त करें।" पत्र में, वे सच का "वैकल्पिक" संस्करण बताना शुरू करते हैं:



दरअसल, यह वही है जो फ़ायरफ़ॉक्स आज की तरह दिखता है, लेकिन वे पूरी तरह से विज्ञापन पत्र में उल्लेख करना भूल जाते हैं कि यह विशुद्ध रूप से मनमाना दृश्य संकेतक है, जो ब्राउज़र डेवलपर्स के विवेक पर छोड़ दिया गया है। जाहिर है, Apple ने उसे पहले ही मार दिया है, लेकिन यहां तक ​​कि क्रोम पर कई लोगों के लिए, कोमोडो वेबसाइट वास्तव में बहुत अलग दिखती है (क्रोम प्रयोग):



पत्र बताता है कि ईवी फ़िशिंग कैसे लड़ता है और निम्नलिखित बताता है:

एक सत्यापित कंपनी का नाम प्रदर्शित करने से आप वेबसाइट के पीछे की कानूनी इकाई को जल्दी पहचान सकते हैं, जिससे फ़िशिंग और धोखाधड़ी मुश्किल हो जाती है।

दूसरे शब्दों में, यदि हम कंपनी का नाम देखते हैं, तो इससे उच्च स्तर का विश्वास पैदा होता है, और यदि आप इस कथन को उल्टा करते हैं, तो यदि हम कंपनी का नाम नहीं देखते हैं, तो इससे विश्वास में कमी आती है, है ना? समस्या यह है कि लोग बस कंपनी का नाम देखने की उम्मीद नहीं करते हैं, और यह क्यों है, इसका एक बहुत ही सरल, प्रभावी प्रदर्शन है:


दुनिया के दस सबसे बड़े स्थल: कहीं भी ईवी नहीं

कोमोडो ने "हाल के एक अध्ययन" का हवाला देते हुए ईवी को अपनी प्रभावशीलता के बारे में बताना जारी रखा:

"DevOps.com द्वारा हाल ही में किए गए एक अध्ययन में पाया गया कि ग्राहक हरे पते वाले बार के साथ साइटों पर भरोसा करने और खरीदने के लिए 50% अधिक हैं।"

वे कॉमोडोस्टोर पर एक लंबे पृष्ठ से जुड़ते हैं और हालांकि यह स्पष्ट रूप से कहीं भी नहीं कहा गया है, शब्द का अर्थ है कि अध्ययन किसी तरह स्वतंत्र और निष्पक्ष था: "Devops.com ने एक सर्वेक्षण किया," और इसी तरह के अन्य वाक्यांश। मैंने जुलाई में इसके बारे में पोस्ट किया था , लेकिन यह स्क्रीनशॉट कहता है कि आपको "सर्वेक्षण" के उद्देश्यों के बारे में जानने की जरूरत है:



मैंने ईमानदारी से इस काम के ग्राहक को खोजने की कोशिश की, पहले लेखक टोनी ब्रैडले को लिखा, और एक जवाब नहीं मिलने पर, मैंने ट्विटर पर @TechSpective से पूछा, जहां वह मुख्य संपादक हैं, और @devopsdotcom (वैसे, मेरे अनुयायी) जिन्होंने सर्वेक्षण प्रकाशित किया:


अंत में, टोनी ब्रैडली द्वारा एक पूरी तरह से स्पष्ट तथ्य की पुष्टि की गई थी। उन्होंने देर से जवाब के लिए माफी मांगी क्योंकि उन्होंने शायद ही कभी ट्विटर पर लॉग इन किया और ग्राहक का नाम कोमोडो सीए रखा।


मैं रिपोर्ट में इस संकेत को स्वयं देखना चाहूंगा, क्योंकि कोमोडो की भागीदारी स्पष्ट रूप से पूर्वाग्रह की ओर ले जाती है। यह ऐसा है जैसे कि एक तेल कंपनी एक रिपोर्ट का निष्कर्ष निकालती है कि जीवाश्म ईंधन पर्यावरण के लिए हानिकारक नहीं है, या एक तंबाकू कंपनी का दावा है कि धूम्रपान स्वास्थ्य के लिए हानिकारक नहीं है। यदि आप अभी भी सोचते हैं कि DevOps.com वास्तव में ईवी प्रमाणपत्रों के "लाभ" में विश्वास करता है, तो स्वयं देख लें:



इस संसाधन को कोमोडो बिक्री पत्र में बार-बार उल्लेख किया गया है, लेकिन आगे बढ़ें। वे आगे कहते हैं कि आप केवल ईवी प्रमाणपत्र खरीदकर "हरे पता पट्टी को सक्रिय कर सकते हैं":

"आपकी साइट पर हरे रंग के एड्रेस बार को सक्रिय करने के लिए, आपको बस SSL विस्तारित सत्यापन (EV) प्रमाणपत्र खरीदने और स्थापित करने की आवश्यकता है।"

दुनिया में iOS के लिए सबसे लोकप्रिय ब्राउज़र में नहीं:



और एंड्रॉइड के लिए क्रोम में नहीं, दुनिया में सबसे लोकप्रिय ओएस:



आइए iOS पर माइक्रोसॉफ्ट एज पर एक नज़र डालें, और फिर से यह पूर्वानुमानित परिणाम:



ये बहुत, बहुत महत्वपूर्ण स्क्रीनशॉट हैं जो दो प्रमुख कारणों से ईवी के मूल्य को कम करते हैं। सबसे पहले, दुनिया में सभी पेजव्यू के लगभग 2/3 मोबाइल डिवाइस हैं । यही है, ऊपर दिए गए स्क्रीनशॉट प्रचलित दृश्य दिखाते हैं जो साइट के मालिक को सोचना चाहिए। दूसरे, परिणामस्वरूप, कंपनियां अपने ग्राहकों को EV की अपेक्षा नहीं कर सकती हैं, क्योंकि उनमें से अधिकांश इसे कभी नहीं देखेंगे। भले ही, कोमोडो का सुझाव है कि ईवी को "लंबी हरी सुरक्षा पट्टी" का लाभ है:

"बड़ी हरी सुरक्षा पट्टी उपयोगकर्ता के लिए बहुत स्पष्ट संकेत है कि साइट सुरक्षित है।"

क्या आप जानते हैं कि वास्तव में ऐसा संकेत क्या है? डेस्कटॉप पर क्रोम में URL के बगल में हरा आइकन! और अगर आप इसे पढ़ते हैं और सोचते हैं: "रुको, क्रोम अब ऐसा नहीं करता है", तो आप बिल्कुल सही हैं। आइकन अब बाहर नहीं है और कोई सुरक्षित शब्द नहीं है:



क्रोम 69 में बदलाव 4 सितंबर को न केवल डीवी, बल्कि ईवी के साथ साइटें भी प्रभावित हुईं:



यहां मैं इस बात पर जोर देने की कोशिश करता हूं कि दृश्य संकेतक पूरी तरह से ब्राउज़र डेवलपर्स के विवेक पर बने रहते हैं और समय के साथ बदलते हैं। इस प्रकार, वाक्यांश "आपकी साइट पर एक हरे रंग की पता पट्टी कैसे प्राप्त करें" अब यह लिखने की तुलना में अधिक गलत है! वास्तव में, इस पत्र में ईवी का एकमात्र या कम सटीक प्रतिनिधित्व मान्यता है कि आप ईवी वाइल्डकार्ड प्रमाण पत्र प्राप्त नहीं कर सकते हैं । लेकिन रुकिए! एक आसानी से सुलभ समाधान है, बस थोड़ा अधिक महंगा है, इसे एक बहु-डोमेन प्रमाणपत्र कहा जाता है, ईवी मल्टी-डोमेन के साथ कोमोडो के एंटरप्राइज एसएसएल प्रो के लिए यह डिफ़ॉल्ट विकल्प वास्तव में आपको $ 5002.44 * बचाएगा।



* नोट: इस बचत को पाने के लिए आपको $ 9746.75 खर्च करने होंगे

स्पष्टता के लिए, यह चार साल का प्रमाण पत्र नहीं है। जैसा कि नीचे दिए गए पाठ से संकेत मिलता है, सीए / बी फोरम नियम अधिकतम प्रमाणपत्र वैधता अवधि को दो साल तक सीमित करता है, और उसके बाद आपको मैन्युअल रूप से सत्यापन और जारी करने की प्रक्रिया को दोहराने की आवश्यकता होती है। लेकिन लानत है, यह हमें 4 साल के लिए प्रमाण पत्र बेचने की अनुमति नहीं देगा!

लेकिन क्या होगा अगर आप प्रमाणपत्र को नवीनीकृत नहीं करते हैं ? ठीक है, आप इसे प्राप्त करें :



आप सोच सकते हैं: "ठीक है, यह स्पष्ट है, डीवी के साथ भी ऐसा ही है", लेकिन बारीकियां हैं। सबसे पहले, प्रमाण पत्र नवीकरण की उपेक्षा खतरनाक नियमितता के साथ होती है, और यह बड़े लोगों के साथ भी होती है। उदाहरण के लिए, Microsoft 2001 में Secure.microsoft.co.uk अपडेट करना भूल गया । बहुत लंबा? उन्होंने 2013 में Azure डोमेन के लिए प्रमाणपत्र को नवीनीकृत नहीं किया था। और हां, न केवल Microsoft को इस तरह की समस्याएं हैं: उदाहरण के लिए, एचएसबीसी 2008 में प्रमाण पत्र को नवीनीकृत करना भूल गया, इंस्टाग्राम ने तीन साल पहले ऐसी आपदा की थी , और पिछले साल लिंक्डइन । कई, कई अन्य उदाहरण हैं, और वे सभी इसे एक ही सामान्य सत्य को स्पष्ट करते हैं: यदि कोई महत्वपूर्ण और दोहराव कार्य है, तो इसे स्वचालित करें!

जो मुझे दूसरे बिंदु पर लाता है: प्रमाणपत्र नवीनीकरण स्वचालित होना चाहिए, और यह कुछ ऐसा है जिसे आप पहचान सत्यापन की आवश्यकता होने पर बस नहीं कर सकते। DV प्रमाणपत्र के साथ, स्वचालन आसान है, यह लेट्स एनक्रिप्ट का आधारशिला है और इस सेवा का वास्तव में महत्वपूर्ण गुण है। मैंने हाल ही में एक प्रमुख यूरोपीय बैंक में विकास टीम के साथ कुछ समय बिताया, और वे इस कारण से ईवी को छोड़ने के बारे में गंभीरता से सोच रहे थे। वास्तव में, केवल इस कारण से, अभी भी एक जोखिम था कि उन्हें एक नया प्रमाण पत्र बहुत जल्दी (उदाहरण के लिए, समझौता किए गए कुंजी के कारण) प्राप्त करने की आवश्यकता होगी, जो कि ईवी के लिए डीवी की तुलना में बहुत अधिक कठिन है। इसके अलावा, दीर्घकालिक प्रमाणपत्र वास्तव में एक टूटी हुई निरसन प्रक्रिया के कारण अतिरिक्त जोखिम पैदा करते हैं , इसलिए त्वरित पुनरावृत्तियां (उदाहरण के लिए, चलो एन्क्रिप्ट प्रमाण पत्र 3 महीने के लिए वैध हैं) एक लाभ बन जाते हैं। दो साल के लिए मान्य प्रमाण पत्र एक फायदा नहीं है , सिवाय उन पर पैसा कमाने के ...

(विरोधाभासी रूप से, ऊपर दिए गए लिंक पर लिंक्डइन की कहानी TheSSLStore.com से जुड़ी है, जो एक प्रमाण पत्र पुनर्विक्रेता है। आप जोखिमों को समझते हैं, लेकिन प्रमाण पत्र नवीकरण समाधान के हिस्से के रूप में स्वचालन की पेशकश करने के बजाय, वे समाधान प्रदान करते हैं जो केंद्रों से उद्यम स्तर तक बड़े पैमाने पर हैं)। कोमोडो जैसे प्रमाणपत्र, जो निश्चित रूप से, ईवी को धक्का देते हैं। लेट्स एनक्रिप्ट का कोई उल्लेख नहीं है। उन्हें फ़िशिंग साइटों (सही डोमेन नाम सत्यापन के साथ) के प्रमाण पत्र जारी करने के लिए ज़ोर से आलोचना की जाती है , हालांकि कोमोडो ने एक ही राशि जारी की !

वाइल्डकार्ड समर्थन की कमी मुख्य तकनीकी कारणों में से एक है कि ईवी से क्यों बचा जाना चाहिए (अन्य कारण ज्यादातर सामान्य ज्ञान हैं), और सब्जेक्टनामल क्षेत्र में भरना शायद ही एक पर्याप्त विकल्प कहा जा सकता है। उदाहरण के लिए, हमारी रिपोर्ट URI वेबसाइट पर हमारे पास वाइल्डकार्ड प्रमाणपत्र है, इसलिए आप https: // [मेरी कंपनी का नाम] .report-uri.com पर रिपोर्ट भेज सकते हैं, और हमारे पास ऐसे सैकड़ों उप डोमेन हैं। कोमोडो खुशी से इस पैमाने का समर्थन करेगा:



इस तथ्य के अलावा कि स्कॉट हेल्म और मेरे पास वास्तव में 808 हजार डॉलर नहीं हैं, यह एक वास्तविक वाइल्डकार्ड प्रमाण पत्र से भी दूर है, क्योंकि इसके मुद्दे के समय आपको गतिशील रखरखाव के बजाय सभी होस्ट नामों को निर्दिष्ट करना होगा।

और इस विपणन पत्र में अंतिम बिंदु एक गारंटी का वादा है:



यह सुपर-महंगे मल्टी-डोमेन ईवी सर्टिफिकेट के साथ सीधे पेज से लिंक करता है और गारंटी के सार को समझाने की कोशिश भी नहीं करता है, जो थोड़ा अजीब है। लेकिन यह समझ में आता है, क्योंकि कोई भी वास्तव में नहीं जानता कि गारंटी क्या है और क्या किसी ने कम से कम एक बार इसके लिए आवेदन किया है । गंभीरता से - यह एक तुच्छ बयान नहीं होना चाहिए, स्कॉट और मैंने ईमानदारी से वर्ष की शुरुआत में यह पता लगाने की कोशिश की - और सीधे जवाब नहीं मिल सका। जब मैं एक संवाद में प्रवेश करने में कामयाब रहा, तो उन्होंने मुझ पर "नर्ड से बाहर" होने का आरोप लगाया:


बातचीत:
एंड्रियास मुल्लेक : एंडी, ये लोग अपने अंतर को स्वीकार नहीं करना चाहते हैं - वे यह समझने के लिए बहुत अधिक बेवकूफ हैं कि सामान्य लोगों के पास nerdville में लोगों की तुलना में अलग-अलग ज़रूरतें हैं। मेरे लिए नर्डविल पर्याप्त है, मैं सामान्य दुनिया से अपने ग्राहकों की समस्याओं से निपटने के लिए लौट रहा हूं। जल्द मिलते हैं।
ट्रॉय हंट : एंड्रियास, मैंने एक बहुत ही उचित सवाल पूछा और यह महत्वपूर्ण है, क्योंकि प्रमाण पत्र एक गारंटी के साथ बेचे जाते हैं, और मैं यह समझने की कोशिश कर रहा हूं कि इसका क्या मतलब है। वास्तविक ग्राहक जानना चाहते हैं कि यह वारंटी क्या है और क्या इसके उपयोग के दस्तावेज हैं? क्या आप उनके बारे में जानते हैं?

सभी खातों के अनुसार, यह किसी के द्वारा नहीं, बल्कि सर्टिफिकेट के सीईओ की ओर से एक बहुत ही अप्रत्याशित उत्तर था, क्योंकि वह सर्टिफिकेट गारंटी के उच्च महत्व की सराहना करने वाला पहला व्यक्ति लगता है (बशर्ते कि यह वास्तव में महत्वपूर्ण हो, निश्चित रूप से)। यदि आप घोषित किए गए कार्यों के साथ एक उत्पाद के लिए इस तरह की कंपनी का भुगतान करते हैं, तो "nerd" होने के नाते यह पूछना सामान्य है कि ये फ़ंक्शन कैसे काम करते हैं, और इससे उस व्यक्ति का उपहास नहीं होना चाहिए जो इस कंपनी को चलाता है। दुर्भाग्य से, सवाल का जवाब देने के बजाय, एंड्रियास ने कोशिश की और परीक्षण किए गए शुतुरमुर्ग विधि को लागू किया:



जो वास्तव में सवाल उठाता है वह यह है कि गारंटी पैसे के लिए बेची जाती है (बेशक, आपको लेट्स एनक्रिप्ट प्रमाण पत्र के साथ गारंटी नहीं मिलती है), लेकिन वे यह समझाने के लिए तैयार नहीं हैं कि आपके पैसे के लिए आपको वास्तव में क्या मिलता है। सर्टिफिकेट भी सक्रिय रूप से गारंटी को "सुरक्षा के उच्चतम स्तर के तत्व" के रूप में बढ़ावा दे रहा है :



लेकिन दोस्तों, अगर आप वारंटी शब्द को सही ढंग से नहीं बता सकते हैं, तो यह समझने की असली संभावना क्या है कि यह क्या कर रहा है!

EV कॉफ़िन में एक और कील स्कॉट एलेक्सा की पिछले साल की अर्ध-वार्षिक रिपोर्ट टॉप 1M है। यह HTTP से HTTPS तक साइटों के संक्रमण पर उत्साहजनक आँकड़े प्रदान करता है:



HTTPS साइट्स पहले से ही 52% हैं, जो कि एक पूरे के रूप में इंटरनेट के लिए बहुत अच्छा है। लेकिन मुझे EV के बारे में ऐसी टिप्पणी में दिलचस्पी थी:

"पहले मिलियन साइटों में HTTPS में मजबूत वृद्धि के बावजूद, EV प्रमाणपत्रों की हिस्सेदारी में कोई वृद्धि नहीं हुई है।"

संख्याओं में: फरवरी 366 005 साइटों में एचटीटीपीएस में HTTP अनुरोधों को पुनर्निर्देशित किया गया और उनमें से 19 802 ने ईवी प्रमाणपत्रों का उपयोग किया, जो कि एचटीटीपीएस साइटों का 5.41% है। अगस्त में, 489,293 HTTPS पर पुनर्निर्देशित किया गया था, और उनमें से 25,158 में EV प्रमाणपत्र थे, जो 5.1%% थे। दूसरे शब्दों में, ईवी मार्केट शेयर में लगभग 5% की गिरावट आई है।

(नोट: ४% ९, २ ९ ३ वास्तव में ५२% नमूना बनाता है, क्योंकि ४ sites,००० साइटों को स्कैन नहीं किया गया और आंकड़ों से बाहर रखा गया है)।

यह पता चला है कि कई साइटें वास्तव में ईवी प्रमाणपत्रों से इनकार करती हैं । एक महीने पहले, स्कॉट ने उन प्रमुख साइटों की एक विस्तृत सूची प्रदान की , जो पहले ईवी का उपयोग करती थीं: शटरस्टॉक, लक्ष्य, यूपीएस और ब्रिटिश पुलिस। लगभग उसी समय, मैंने देखा कि ट्विटर ने भी ईवी को छोड़ दिया।

ट्विटर की कहानी थोड़ी अजीब है, क्योंकि वास्तव में आप देख सकते हैं कि उनके पास आपकी जगह के आधार पर ईवी प्रमाण पत्र था या नहीं। यह ईवी की प्रभावशीलता के बारे में भी कुछ कहता है: यदि वे इसे हटाने या जोड़ने के लिए तैयार हैं, तो लोगों को अलग तरह से व्यवहार करने और ईवी कम के बिना किसी साइट पर भरोसा करने की संभावना नहीं है। लेकिन यही वह नींव है जिस पर ईवी यांत्रिकी का निर्माण किया जाता है!

उदाहरण के लिए न केवल कोमोडो और सर्टिफिकेट विघटनकारी अभियान चलाते हैं, बल्कि कई अन्य भी हैं:


ऐतिहासिक ब्राउज़रों को चुनने के अलावा (यह छवि कितनी पुरानी है!), निम्नलिखित कथन को संदर्भ द्वारा लेख में बनाया गया है:

"वेब सुरक्षा विशेषज्ञ ई-कॉमर्स, बैंकों, सोशल मीडिया, स्वास्थ्य सेवा, सरकार और बीमा प्लेटफार्मों जैसे प्लेटफार्मों के लिए ईवी एसएसएल प्रमाणपत्र का उपयोग करने की सलाह देते हैं।"

मुझे यकीन नहीं है कि वे पहले शब्दों में किसका उल्लेख करते हैं, लेकिन मुझे पता है कि बैंकों के अलावा, यह कथन केवल अन्य उद्योगों के लिए पानी नहीं रखता है। यह प्रदर्शित करना आसान है कि यह मौलिक रूप से कितना गलत है।

यहां दुनिया के सबसे बड़े ई-कॉमर्स साइट हैं । प्रत्येक पर क्लिक करें और जांचें कि क्या उनके पास ईवी है:

1. वीरांगना
2. नेटफ्लिक्स
3. ईबे

आप कह सकते हैं कि एलेक्सा ने नेटफ्लिक्स को एक ई-कॉमर्स साइट के रूप में गलत तरीके से वर्गीकृत किया है, फिर अगले सबसे लोकप्रिय वॉलमार्ट.कॉम को देखें , और उसी परिणाम को प्राप्त करें। कहीं भी ई.वी.

हम आगे बढ़ते हैं। सोशल मीडिया के साथ भी यही स्थिति है :

1. फेसबुक
2. चहचहाना
3. लिंक्डइन

जैसा कि पहले चर्चा की गई थी, ईवी का समर्थन करने के मामले में ट्विटर के पास थोड़ी पहचान का संकट है, इसलिए निष्ठा के लिए चौथी सबसे बड़ी वेबसाइट देखें: Pinestest ।

दुनिया की सबसे लोकप्रिय स्वास्थ्य सेवा साइटों पर, एक ही बात:

1. राष्ट्रीय स्वास्थ्य संस्थान
2. WebMD
3. मेयो क्लिनिक

नहीं ईवी। आम तौर पर। एक भी बात नहीं।

मुझे सबसे बड़ी सरकारी वेबसाइटों की स्पष्ट सूची नहीं मिल सकी, इसलिए मैंने स्कॉट के एलेक्सा टॉप 1 एम नाइट क्रॉल के डेटा को खींच लिया और .gov ज़ोन की सबसे बड़ी साइटों का चयन किया। राष्ट्रीय स्वास्थ्य संस्थान सबसे बड़ा है, लेकिन हमने पहले ही इसकी जांच कर ली है, इसलिए हम निम्नलिखित तीन लेते हैं:

1. भारत विशिष्ट पहचान एजेंसी (जिसमें एचटीटीपीएस समर्थन के साथ अन्य मूलभूत मुद्दे हैं )
2. भारत का कर कार्यालय
3. GOV.UK

अब तक, आप पहले से ही महसूस कर चुके हैं कि ईवी से मिलने का मौका कम से कम कहीं कम से कम है। आप सही हैं - एक भी हिट नहीं।

अंत में, शीर्ष बीमा साइटें :

1. यूनाइटेड सर्विसेज ऑटोमोबाइल एसोसिएशन
2. कैसर स्थायी
3. Geico

हमने एक पाया! USAA के पास वास्तव में EV प्रमाणपत्र है! अन्य दो नहीं है, लेकिन यह कम से कम कुछ है, है ना?

अगर "वेब सुरक्षा विशेषज्ञ" इन वर्गों की साइटों के लिए EV की सलाह देते हैं, तो जाहिर है कि ये साइटें उनकी बात नहीं सुनती हैं। तो ऐसी सिफारिशें प्रकृति में काव्यात्मक हैं।

एसएसएल के बारे में निराधार दावों का एक और सेट यह है कि ईवी "लेनदेन के रूपांतरण को बढ़ाता है", "खरीदारी की टोकरी से प्रस्थान को कम करता है" और "फ़िशिंग हमलों से बचाता है।" आप समझ सकते हैं कि वे ऐसे बयान क्यों देते हैं: इसका कारण पाठ के नीचे बटन के रूप में दिखाई देता है:



इसलिए, हम फिर से एक स्पष्ट पूर्वाग्रह पर लौट आए। लेकिन हे, वे सिर्फ व्यापार करने की कोशिश कर रहे हैं, इसलिए मैं उद्देश्यों को समझता हूं। हम यह भी मान सकते हैं कि इस तरह के व्यवसाय को शुरू करने से वे स्वयं रूपांतरण को बढ़ाना चाहेंगे, है ना? खैर, यह हास्यास्पद है:



यहां तक ​​कि ईवी विक्रेता स्वयं भी इस पर पैसा खर्च नहीं करने के लिए पर्याप्त स्मार्ट है! इसके अलावा, हम याद करते हैं कि "ग्रीन एड्रेस बार" खुद अब पूरी तरह से दुनिया के सबसे लोकप्रिय ब्राउज़र के लिए धन्यवाद गायब हो गया है, जिसने इसे 69 संस्करण में मार दिया।

फ़िशिंग के साथ एक तर्क है। अक्सर यह दावा किया जाता है कि ईवी किसी तरह इसे कम करता है। यह वही है जो इस वर्ष की शुरुआत से Entrust की प्रस्तुति से स्लाइड पर बताया गया है:



धोखाधड़ी का एक पूरा गुच्छा है, और विश्लेषण के लिए रयान स्लीवी के इस धागे को पढ़ना सबसे अच्छा है। उन्होंने उस अध्ययन का विश्लेषण किया जिस पर स्लाइड आधारित है।

रियान क्रोमियम पर काम करने वाला एक बहुत ही स्मार्ट क्रिप्टोग्राफर है, और उसके पास पानी को साफ करने के लिए किसी भी बकवास को स्पष्ट रूप से उजागर करने की एक उत्कृष्ट क्षमता है। अंत में, वह स्थिति को संक्षेप में बताता है : “सामान्य तौर पर, यह एक बुरा लेख है। लेकिन इससे भी बदतर, वे उसे "डेटा-संचालित" शोध के रूप में बंद करने की कोशिश कर रहे हैं। वे एक गलत तरीके का उपयोग करते हैं और एक व्यापार मॉडल का समर्थन करने के लिए एक चयनात्मक दृष्टिकोण का उपयोग करते हैं जो उन उपयोगकर्ताओं पर निर्भर करता है जो उपयोगकर्ता इंटरफ़ेस परिवर्तनों का पता लगाने के लिए पूरी तरह जिम्मेदार हैं। "

यही है, हम इस तथ्य पर लौटते हैं कि ईवी केवल तभी प्रभावी होगा जब लोग यूआई में बदलाव के कारण अपना व्यवहार बदलते हैं। वास्तव में, लोगों को पता नहीं है कि किस पर ध्यान देना है, और यह परिवर्तन खुद ही धीरे-धीरे अस्तित्व में आता है। या लोगों द्वारा इस पर ध्यान देने के लिए परिवर्तन बहुत महत्वहीन है। लेख में पहला स्क्रीनशॉट याद रखें जहां सफारी ब्राउज़र अब EV प्रमाणपत्र में पंजीकृत कंपनी का नाम प्रदर्शित नहीं करता है? मेरे ब्लॉग के स्क्रीनशॉट से इसकी तुलना करें, आईओएस 12 पर सफारी में भी खोलें:



अंतर देखें? EV साइट URL और उसके आगे का महल अब हरा है, जबकि DV साइट काला है। इसलिए अब, उपयोगकर्ताओं के लिए एक उपयुक्त उम्मीद बनाने के लिए, उन्हें ग्रीन यूआरएल और एक लॉक देखने के लिए कहना होगा ... जब तक कि वे क्रोम का उपयोग न करें, जो आम तौर पर सभी हरे तत्वों को हटा देता है! जाहिर है, उपयोगकर्ताओं को ब्राउज़र में ऐसी बारीकियों की व्याख्या करना हास्यास्पद है, खासकर उनके बदलाव की गति को देखते हुए।

लगभग एसएसएल साइट पर लौटते हुए, एक ऐसा वीडियो है जहां एक वक्ता ईवी के गुणों को उन्हीं बिंदुओं पर बताता है जिनकी हमने समीक्षा की थी। लगभग 6 मिनट के लिए वीडियो, अगर आपके पास देखने का धैर्य है:


हम दिलचस्प के लिए सीधे जा सकते हैं, उदाहरण के लिए, जब मॉडरेटर (और कोमोडो उत्पाद विपणन प्रबंधक ) वित्तीय लेनदेन के लिए ईवी की महत्वपूर्णता के बारे में बात करते हैं:

"सबसे महत्वपूर्ण क्षण में, जब वे तय करते हैं कि क्या कोई लेनदेन करना है, तो कंपनी के नाम, स्थान और प्रमाणन निकाय की पुष्टि करने वाली जानकारी के साथ यह हड़ताली दृश्य संकेतक (ग्रीन लाइन ईवी) निर्णय लेने के लिए आवश्यक आत्मविश्वास देता है।"

थीसिस को एक्सकैलिबर कटलरी और उपहार वेबसाइट के एक स्क्रीनशॉट द्वारा प्रबलित किया गया है : आपको



शायद पहले से ही लगता है कि यह होगा ... और आप सही हैं:



नहीं ईवी। कोई व्यावसायिक DV बिल्कुल नहीं, लेकिन एक पूरी तरह से सामान्य मुक्त चलो प्रमाण पत्र एन्क्रिप्ट करें। वीडियो एक पुरातन युग की तरह है: इसमें विंडोज़ XP पर IE8 में खुली हुई साइटें हैं ... मैं कुछ नहीं कर सकता, लेकिन एक भावना है कि स्थिति कुछ और है ... पुरानी। यह पता चला कि यह है:



मैं आज के परिप्रेक्ष्य से लगभग दस साल पहले वीडियो का मूल्यांकन नहीं करता, लेकिन आज भी वही बिंदु व्यक्त किए जाते हैं, जो आज भी हैं। और निश्चित रूप से, इस वीडियो के साथ एक लेख एक महीने पहले प्रकाशित एक ट्वीट द्वारा संदर्भित किया गया है "एक उन्नत एसएसएल सत्यापन प्रमाण पत्र के लिए महत्वपूर्ण गाइड", इसलिए सब कुछ उचित है।

यह पहली बार नहीं है कि कोमोडो ने ईवी को बढ़ावा देने के लिए ईवी साइटों का उपयोग किया है जो कि ईवी नहीं है । हाल ही में, किसी ने मुझे कोमोडो से एक पत्र दिखाया था जो मुझे डोमेन नवीकरण की याद दिलाता था:



स्वाभाविक रूप से, वह Mostlydead.com में रुचि रखता था और यह देखना चाहता था कि "केन बिक्री के अनुसार" बिक्री में 20% की वृद्धि कैसे हो रही थी। ठीक है, आप समझते हैं, क्योंकि ईवी "उपभोक्ता विश्वास बढ़ाता है।" ऐसा लगता है कि अधिक कुछ नहीं:



जितना अधिक आप विषय में तल्लीन होंगे, उतना ही आप आश्वस्त होंगे कि ईवी ... लगभग मर चुका है। आखिरकार, यह सिर्फ एक यादृच्छिक साइट नहीं है जो ईवी से डीवी तक स्विच किया गया है। यह विशेष रूप से ईवी के मूल्य को प्रदर्शित करने के लिए चुनी गई साइट है! यह ईवी के मूल्य का एक उदाहरण होना चाहिए, और कोमोडो ने इसे आज तक टाल दिया है। हालांकि, हम देखते हैं कि केन क्री ने ईवी की प्रभावशीलता के बारे में अपने दिमाग को स्पष्ट रूप से बदल दिया है (और शायद उनकी ऐसी कोई राय नहीं थी)।

ईवी के साथ स्थिति इस तरह दिखना शुरू हो रही है:



लेकिन हम अभी तक समाप्त नहीं हुए हैं: मैं एक और साइट का उल्लेख करना चाहता हूं जिसमें ईवी प्रमाण पत्र हुआ करता था, और अब वापस डीवी पर लौट आया है। यह साइट है:


अनुवादक का नोट: टीआईबी हंट ने चोरी किए गए खातों के डेटाबेस के साथ एचआईबीपी साइट लॉन्च की थी।

मैंने कल से एक दिन पहले प्रमाणपत्र बदल दिया था, और अब तक किसी ने भी इसका उल्लेख नहीं किया है। कोई नहीं। एक आत्मा नहीं, लेकिन मेरे दर्शक आपके औसत उपयोगकर्ता की तुलना में इस तरह की चीजों में बहुत बेहतर हैं। स्वाभाविक रूप से, ऐसे लोगों की कमी नहीं थी जो इस अवधि में बदलाव को नोटिस कर सकते हैं:



लगभग दो साल पहले, मैंने इसके बारे में लिखा थाईवी प्रमाणपत्रों की दुनिया में उनकी यात्रा । जैसा कि मेरे कई लेखों में, यहाँ मैंने चलते-फिरते अध्ययन किया; मैं खुद ईवी प्रमाणन प्रक्रिया से गुजरना चाहता था (दूसरों ने हमेशा पहले यह किया है), और मैं देखना चाहता था कि क्या यह वास्तव में मायने रखता है। उस समय, मैं ईमानदारी से समझ नहीं पाया और लेख को इस तरह समाप्त कर दिया:

“इन सभी ईवी-प्रमाणित चीजों को मूल्य के संदर्भ में मापना कठिन है। मुझे नहीं पता कि कितने और लोग अपने ईमेल पते की सेवा में जाँच करेंगे, उन्हें कितना मीडिया कवरेज या दान मिलेगा। आम तौर पर एक सुराग के बिना। ”

दो साल बाद, मैं इस निष्कर्ष पर काफी आश्वस्त हूं: कोई मूल्य नहीं है। लेकिन इसका मतलब यह नहीं है कि इस तरह के प्रमाण पत्र होने में एक खामी है, बस कोई लाभ नहीं हैं। जैसा कि नवीकरण की तारीख दृष्टिकोण (14 दिसंबर), मैंने फोन किया और अग्रिम में इसे वापस लेने के लिए कहा ताकि मुक्त क्लाउडफ़ेयर रिलीज़ वापस आ सके। नवीकरण के लिए भुगतान करने का कोई कारण नहीं है (मैंने दो साल के प्रमाण पत्र के लिए तुरंत $ 472 का भुगतान किया), और समाप्ति के लिए इंतजार करने का कोई कारण नहीं था, नुकसान को छोड़कर, और इसका ईवी प्रमाण पत्र के समान अर्थ है।

मैं अक्सर सोचता था कि स्वतंत्र रूप से उपलब्ध प्रमाण पत्रों के युग में ईवी या डीवी प्रमाणपत्रों के भुगतान का क्या मतलब है। मैं HTTPS पर चर्चा करते हुए दुनिया भर की कई कंपनियों का दौरा करता हूं, और जब मैं इस मुद्दे की जांच करने की कोशिश करता हूं, तो मैं नियमित रूप से वाक्यांश "किसी को भी आईबीएम की खरीद के लिए अभी तक निकाल नहीं दिया गया था" सुना है। मैं इस वाक्यांश का अर्थ समझाने के लिए एक अच्छे लिंक की तलाश में था - और विकिपीडिया से FUD की परिभाषा में एक उत्कृष्ट एक पाया:

“कम-ज्ञात उत्पादों की कमियों के बारे में संदिग्ध जानकारी का प्रसार करके, एक स्थापित कंपनी निर्णय लेने वालों को अपने स्वयं के बजाय इन उत्पादों को चुनने से रोक सकती है, भले ही सापेक्ष तकनीकी गुणों की परवाह किए बिना। यह खरीद एजेंटों के पारंपरिक स्वयंसिद्ध द्वारा सन्निहित एक मान्यता प्राप्त घटना है कि "आईबीएम उपकरणों की खरीद के लिए अभी तक किसी को निकाल नहीं दिया गया है।" यह आईटी के लिए तकनीकी रूप से हीन सॉफ्टवेयर खरीदने के लिए लक्ष्य है क्योंकि शीर्ष प्रबंधन ब्रांड को पहचानने की अधिक संभावना है। ”

दूसरे शब्दों में, लोग विपणन FUD के कारण "सुरक्षित" विचार करने के बारे में बिना किसी निर्णय के निर्णय लेते हैं। मुझे संदेह है कि उनकी साइटों पर तृतीय-पक्ष सुरक्षा जवानों वाली कंपनियों की मानसिकता समान है। उनके पास पर्याप्त ज्ञान और समझ नहीं है कि वे वास्तव में जोखिम बढ़ा सकते हैं , लेकिन लानत है, उन्हें इस तरह से विज्ञापित किया गया था!

तो हाँ - HIBP पर कोई अधिक EV नहीं है, और कोई भी उसे याद नहीं करेगा, जो पूरी तरह से दूसरों के अनुभव के अनुरूप है, जिन्होंने विस्तारित सत्यापन के प्रमाण पत्र से इनकार कर दिया:

"इस महीने, हमने ईवी को छोड़ दिया, टीएलएस हैंडशेक की गति में सुधार किया, और किसी ने नहीं कहा कि कुछ गायब था।"

“भुगतान पोर्टल पर, हमने ईवी प्रमाणपत्र को @letsencrypt के साथ बदल दिया:
- स्वचालित नवीनीकरण (एक लंबी और जटिल मैनुअल प्रक्रिया के बिना, समाप्ति का जोखिम कम करना)
- कीमत
- लोग प्रमाण पत्र के प्रकार के बारे में परवाह नहीं करते हैं
- अधिक बार अद्यतन - संभव समझौता से तेजी से वसूली "

"हमें एहसास हुआ कि लोगों को हमारे अपरिचित कंपनी के नाम से अधिक सुंदर हरे बिल्ला पर भरोसा है। बचत एक बोनस है। ”

“मैं इस बात से सहमत नहीं हूं कि मामला मूल्य में है। लक्ष्य और अन्य दिग्गज एक प्रमाण पत्र के लिए $ 1,000 की परवाह नहीं करते हैं। मुझे लगता है कि यह जागरूकता के बारे में है। मुझे पता है कि 18 महीने पहले एक EV प्रमाण पत्र मेरे .org साइट के लिए एक अच्छा विचार था। लेकिन क्या मैं इसका नवीनीकरण करूंगा? नहीं! क्योंकि मुझे उनकी व्यर्थता का एहसास हुआ। ”

"मैं यह नहीं कह सकता कि मुख्य कारक क्या बन गया है: 1. लचीलापन बढ़ाने के लिए वाइल्डकार्ड की आवश्यकता। 2. लागत अब औचित्य नहीं है, विशेष रूप से कई उप-डोमेन पर विचार कर रहे हैं। 3. उपयोगकर्ता जागरूकता में कमी का मतलब है कि शायद ही किसी ने परिवर्तनों पर ध्यान दिया हो। "

लेख लंबा चला, क्योंकि हर बार जब मैं लिखने के लिए बैठी, तो ईवी की निरपेक्षता के नए सबूत थे। मैंने क्रोम 69 के रिलीज से पहले और ग्रीन एड्रेस बार को हटाने सहित कुछ घटनाओं को सूचीबद्ध करने से पहले नोट्स लेना शुरू कर दिया, जिससे ईवी मार्केटिंग के मुख्य ट्रम्प कार्ड में से एक की मौत हो गई। यह कहना नहीं है कि ईवी एकमात्र ऐसी तकनीक है जो धीरे-धीरे एक हजार कटौती से मर गई है। एक बार इस तरह के प्रमाण पत्र एक अच्छा उत्पाद थे, लेकिन अब एक पूरी तरह से अलग स्थिति है - और यह एक बीते युग का एक अर्थहीन अवशेष है। ब्राउज़र निर्माता इसके बारे में जानते हैं और तदनुसार कार्य करते हैं। ईवी ताबूत में आखिरी कील लगाने से पहले यह केवल समय की बात है:


क्रोम कैनरी v70 ईवी-एसएसएल कंपनी के नामों को हटाने की कोशिश कर रहा है, मुझे आश्चर्य है कि क्या यह अंतिम रिलीज में होगा?

जब क्रोम अंततः ब्राउज़र से विज़ुअल ईवी इंडिकेटर को हटा देता है (जैसे वे पहले से ही मोबाइल पर करते थे, और जैसे ऐप्पल ने सफारी लाइन में किया था), यह ठीक होगा और वास्तव में ईवी को समाप्त कर देगा। शायद तब FUD अंत में समाप्त हो जाएगा।

मैं आपको ईवी की पूर्ण निरर्थकता का एक अंतिम साक्ष्य दूंगा: यह इस वर्ष की शुरुआत में लंदन में मेरा व्याख्यान है। यह वह क्षण है जब मैं ईवी के बारे में बात करना शुरू करता हूं, और यह यहां के दर्शकों के साथ बातचीत है जो सांकेतिक है। देखें कि स्मार्ट टेकियों से भरा कमरा कैसे प्रतिक्रिया देता है जब मैं पूछता हूं कि लोकप्रिय साइटों पर वे किस तरह के दृश्य संकेतक की उम्मीद करते हैं। इसका आनंद लें!