Chrome 77 और फ़ायरफ़ॉक्स 70 (22 अक्टूबर से बाहर आने) के नए संस्करणों में, विस्तारित सत्यापन वाले ईवी-प्रमाणपत्रों ने एड्रेस बार में अपना सामान्य स्थान खो दिया है । अब, पहली नज़र में, वे साधारण DV प्रमाणपत्रों से अलग नहीं हैं जो एक डोमेन को मान्य करते हैं। कंपनी के बारे में अतिरिक्त जानकारी का खुलासा केवल लॉक आइकन दबाकर किया जाता है, लेकिन एड्रेस बार में नहीं।


यह वही है जो SSL SSL प्रमाणपत्र की जानकारी फ़ायरफ़ॉक्स 70 में दिखता है

उद्योग के आलोचकों की कृपा है कि "हवाई व्यापार" बंद हो जाएगा । लेकिन रजिस्ट्रार खुद मानते हैं कि ईवी एसएसएल दफनाने के लिए बहुत जल्दी है।

उन्नत सत्यापन प्रमाण पत्र

विस्तारित सत्यापन प्रमाणपत्र (विस्तारित सत्यापन, EV) - एक प्रकार का HTTPS प्रमाणपत्र जिसमें एक प्रमाणीकरण प्राधिकारी डोमेन को कानूनी इकाई से जोड़कर एक डोमेन स्वामी का अतिरिक्त सत्यापन करता है। प्रक्रिया को दो सप्ताह तक का समय लग सकता है। नो योर क्लाइंट बैंकिंग मानकों के समान, कंपनी का पता और टेलीफोन नंबर सत्यापित है। यह जानकारी तब प्रमाणपत्र में एम्बेड की जाती है और प्रमाणीकरण प्राधिकारी के डिजिटल हस्ताक्षर द्वारा सत्यापित की जाती है।

  CN = www.bankofamerica.com
 SERIALNUMBER = 2927442
 2.5.4.15 = निजी संगठन
 O = बैंक ऑफ़ अमेरिका कॉर्पोरेशन
 1.3.6.1.4.1.311.60.2.1.2 = डेलावेयर
 1.3.6.1.4.1.311.60.2.1.3 = यूएस
 एल = शिकागो
 एस = इलिनोइस
 सी = यूएस 

साधारण DV प्रमाणपत्र केवल इस बात की पुष्टि करते हैं कि मालिक प्रमाणपत्र में निर्दिष्ट डोमेन को नियंत्रित करता है। उसी समय, प्रमाणीकरण प्राधिकरण के पास कोई ऐसा सुराग नहीं है जो डोमेन का मालिक हो और उससे संपर्क न कर सके:

  CN = whoami.com 

ये वास्तव में गुमनाम प्रमाण पत्र हैं, जो केवल HTTPS पर ट्रैफिक एन्क्रिप्ट करने के लिए उपयोगी हैं। वे किसी भी तरह से साइट की सुरक्षा का संकेत नहीं देते हैं: कोई भी एक स्वचालित प्रक्रिया के माध्यम से इस तरह का प्रमाण पत्र प्राप्त कर सकता है।

इससे पहले, अधिकांश ब्राउज़रों ने URL के बगल में सीधे एड्रेस बार में कानूनी इकाई और अधिकार क्षेत्र का नाम प्रदर्शित किया था, जैसा कि नीचे चित्रण में दिखाया गया है।


फ़ायरफ़ॉक्स, सफारी और क्रोम ब्राउज़रों में ईवी प्रमाणपत्र प्रदर्शित करने के लिए पिछला यूआई

इस प्रथा का परित्याग करने वाले सफ़ारी पहले थे। उसने कानूनी इकाई का नाम प्रदर्शित करना बंद कर दिया, और ईवी-प्रमाण पत्र की उपस्थिति में, डोमेन बस हरा हो गया। फिर क्रोम इंटरफ़ेस बदल गया।


क्रोम 76


क्रोम 77

22 अक्टूबर, 2019 को फ़ायरफ़ॉक्स 70 के अंतिम संस्करण को उसी बदलाव के साथ बनाने की योजना है।


फ़ायरफ़ॉक्स 69


फ़ायरफ़ॉक्स 70

यह ध्यान दिया जाना चाहिए कि ईवी / धारा 2 के लिए सीए / ब्राउज़र फोरम के दिशानिर्देश विशेष रूप से इंगित करते हैं कि ईवी प्रमाणपत्रों का मुख्य उद्देश्य उपयोगकर्ताओं को उस व्यवसाय की कानूनी पहचान के बारे में सूचित करना है जिसके साथ वे वेबसाइट के माध्यम से बातचीत करते हैं। माध्यमिक लक्ष्य फ़िशिंग और अन्य दुर्भावनापूर्ण प्रकार की वेब गतिविधि का मुकाबला करना है।

ब्राउज़र ने EV SSL इंडिकेटर को क्यों हटाया है

ब्राउज़र इंटरफ़ेस को अनुकूलित करने के लिए डेवलपर्स की इच्छा का मुख्य कारण है, क्योंकि मोबाइल डिवाइसों की स्क्रीन पर लंबी पता पट्टी फिट नहीं होती है। हालांकि, वे सुविधा के लिए सुरक्षा का त्याग नहीं कर सकते थे। Google ने एक विशेष अध्ययन शुरू किया, जिसके आधार पर यह निष्कर्ष निकला कि EV की अस्वीकृति अभी भी सुरक्षा को कम नहीं करती है। इस अध्ययन ने यूआई को बदलने से पहले एक हरे रंग की रोशनी जलाई, जो कि उपयोगकर्ता की सुविधा के लिए इंटरफ़ेस डेवलपर्स द्वारा आवश्यक थी।

यह Google के इंटरफ़ेस डिज़ाइन और सुरक्षा विशेषज्ञों (Chrome सुरक्षा UX समूह) द्वारा किया गया एक अध्ययन है। उन्होंने निष्कर्ष निकाला कि "EV UI ठीक से उपयोगकर्ता सुरक्षा प्रदान नहीं करता है।"

Google नोट करता है कि "EV बैज मूल्यवान स्क्रीन स्पेस पर कब्जा कर लेता है, उपयोगकर्ता इंटरफ़ेस में नकली कंपनी के नाम प्रदर्शित कर सकता है, और क्रोम को सुरक्षित कनेक्शन के सकारात्मक संकेत के बजाय तटस्थ की ओर बढ़ने से रोकता है।" क्रोम सुरक्षा यूएक्स विशेषज्ञों के तर्क के अनुसार, ईवी प्रमाणपत्र के साथ लाइन टीएलएस का एक सकारात्मक संकेत है, जबकि उपयोगकर्ताओं पर प्रभाव के संदर्भ में तटस्थ संकेत अधिक प्रभावी है। इसलिए, भविष्य में, HTTPS वाली साइटों को "लॉक" आइकन से वंचित किया जाएगा, और HTTPS के बिना साइटों के लिए, एक सुरक्षा चेतावनी प्रदर्शित की जाएगी। यह सभी साइटों को एसएसएल प्रमाणपत्र स्थापित करने के लिए प्रोत्साहित करेगा।

Google अध्ययन ने EV प्रमाणपत्रों की कमजोरियों पर ध्यान दिया:

• EV यह गारंटी नहीं देता है कि सत्यापित कंपनी कानून का उल्लंघन नहीं करती है, एक ईमानदार व्यवसाय करती है, कि यह वास्तव में सुरक्षित और विश्वसनीय है।
  
• ईवीएस फ़िशिंग से रक्षा नहीं करते हैं क्योंकि उपयोगकर्ता उन पर सहकर्मी नहीं करते हैं। विशेष रूप से, वे उस कंपनी के लिए देश कोड पर ध्यान नहीं देते हैं जिसके लिए ईवी प्रमाण पत्र पंजीकृत है, जिसका उपयोग धोखाधड़ी के लिए किया जा सकता है।
  
  
  क्रोम उपयोगकर्ताओं के ध्यान के वितरण का हीटमैप, जब क्रोम कोर्ट U100 समूह के एक अध्ययन से, विभिन्न न्यायालयों के साथ ईवी प्रमाणपत्रों का प्रदर्शन करते हैं
  
• हमलावर एक समान नाम वाली कंपनी के लिए EV प्रमाणपत्र प्राप्त कर सकते हैं।
  
• कंपनी का कानूनी नाम कभी-कभी भ्रामक होता है, साइट के नाम के साथ मेल नहीं खाता। उदाहरण के लिए, mint.com पर्सनल फाइनेंस सर्विस में Intuit Inc. द्वारा जारी एक EV प्रमाणपत्र है।

विस्तारित चेक क्या देता है

सीए सुरक्षा परिषद ईवी को एड्रेस बार से हटाने के लिए गलती मानती है। एक संगठन जो कई प्रमुख प्रमाणीकरण अधिकारियों को एक साथ लाता है, निम्नलिखित कारण लाता है :

1. केवल एक EV प्रमाण पत्र यह पुष्टि कर सकता है कि एक साइट किसी विशिष्ट कंपनी की है । गोपनीय उपयोगकर्ता डेटा की सुरक्षा करना संभव नहीं है यदि हम नहीं जानते कि डोमेन किस कंपनी का है।

2. फ़िशिंग से सुरक्षा । अध्ययनों से पता चलता है कि हमलावर सक्रिय रूप से DV प्रमाण पत्र का उपयोग करते हैं, उन्हें एक स्वचालित अनाम प्रक्रिया के माध्यम से अपने हजारों में मुफ्त में ऑर्डर करते हैं।

नतीजतन, फ़िशिंग ने बड़े पैमाने पर DV प्रमाणपत्रों पर स्विच किया। एफबीआई ने पहले ही एक चेतावनी जारी की है कि उपयोगकर्ताओं को ब्राउज़र में HTTPS लॉक आइकन या ग्रीन इंडिकेटर पर भरोसा नहीं करना चाहिए , क्योंकि फ़िशिंग साइटों में से आधे इस संकेतक को दिखाते हैं ।

वहीं, धोखेबाजों के लिए ईवी सर्टिफिकेट हासिल करना मुश्किल है।



फरवरी 2019 में एसएसएल प्रमाण पत्र के साथ 3494 फ़िशिंग साइटों के एक अध्ययन के परिणाम इस प्रकार हैं:

• EV: 0 फ़िशिंग साइटें (0%)
  
• OV: 145 फ़िशिंग साइट्स (4.15%), ज्यादातर CDN मल्टी-सैन मल्टी-डोमेन सर्टिफिकेट जैसे क्लाउडफ़ेयर
  
• DV: 3349 फ़िशिंग साइटें (95.85%)

ब्राउज़र एंटीफ़िशिंग फ़िल्टर खतरे का सामना नहीं कर सकते। अक्टूबर 2018 से एक एनएसएस लैब्स के अध्ययन से पता चला है कि शुरुआत से Google सुरक्षित ब्राउज़िंग केवल 79% फ़िशिंग साइटों को पहचानती है । यह प्रतिशत दो दिनों में बढ़कर 95% हो जाता है, लेकिन इस समय तक इनमें से अधिकांश साइटें अपना काम पूरा करना बंद कर देती हैं।



3. सीए सुरक्षा परिषद Google की थीसिस को मानती है कि ईवी संकेतक को इस आधार पर अस्वीकार करना संभव है कि उपयोगकर्ता इसे एक सकारात्मक सुरक्षा संकेतक के रूप में गलती के रूप में नहीं मानते हैं। सबसे पहले, अधिक योग्य उपयोगकर्ता अभी भी प्रमाण पत्र प्रकारों में अंतर जानते हैं। दूसरे, कम योग्य उपयोगकर्ताओं को सूचित करने के लिए प्रयास करना सार्थक होगा जो DV और EV के बीच के अंतर को नहीं समझते हैं। तीसरा, उपयोगकर्ता की धारणा संदर्भ पर निर्भर करती है: लोग सामान्य आरामदायक परिस्थितियों में कार में सीट बेल्ट के रूप में ऐसे सरल उपायों को नोटिस नहीं करते हैं, लेकिन यह सीट बेल्ट को मना करने का एक कारण नहीं है।

4. केवल फ़िशिंग URL पर निर्भर रहना ही पर्याप्त नहीं है । यहां तक ​​कि एक Google अध्ययन भी नोट करता है कि उपयोगकर्ताओं को URL का विश्लेषण करने में परेशानी होती है और अक्सर फ़िशिंग साइटों पर त्रुटियों और टाइपो को नोटिस करने में विफल होते हैं। उसी समय, EV संकेतक को URL विश्लेषण की आवश्यकता नहीं होती है।

सीए सुरक्षा परिषद का मानना ​​है कि वर्तमान ईवी प्रमाणपत्रों की खामियां उन्हें सुधारने के लिए काम करने का बहाना है, इनकार करने का कारण नहीं। आंकड़े बताते हैं कि EV प्रमाण पत्र फ़िशिंग साइटों को सबसे अच्छा समाप्त करता है। इसे प्रभावी ढंग से उपयोग करने के लिए, ब्राउज़रों को एक मानक प्रदर्शन पर सहमत होना चाहिए, सुरक्षा परिषद ने फिर से मोटर वाहन की दुनिया से एक समानता का हवाला देते हुए कहा: यदि स्टॉप संकेत देश से देश और राज्य से राज्य तक अलग है, और ड्राइवर इसका अर्थ नहीं समझते हैं, तो यह एक कारण नहीं है सभी रास्तों से संकेत रोकें क्योंकि वे अप्रभावी हैं।

ब्राउज़रों में दृश्य परिवर्तनों के बावजूद, EV एक विश्वसनीय सुरक्षा संकेतक है। वह अभी भी कानूनी इकाई की वैधता की पुष्टि करता है, बस अब यह जानकारी दूसरी जगह चली गई है। इस जानकारी को देखने के लिए उपयोगकर्ताओं को लॉक आइकन पर क्लिक करना होगा।

इसलिए ईवी प्रमाणपत्रों की मृत्यु के बारे में अफवाहें समय से पहले थीं। यह संभावना है कि सुरक्षा विशेषज्ञ और डिजाइनर इस मुद्दे को समझेंगे और इंटरफेस को समायोजित करेंगे। अब इस मुद्दे पर ब्राउज़र डेवलपर्स के साथ चर्चा की जा रही है।

---