EV SSL certifikát ( Extended Validation - rozšířené ověření) je typ certifikátu, u kterého je nutné potvrdit v certifikační autoritě existenci společnosti, na jejíž jméno je vydán, a dále skutečnost, že tato společnost vlastní certifikovanou doménu. jména.
Prohlížeče informovaly uživatele, že web má certifikát EV SSL. Buď zobrazili název společnosti místo názvu domény, nebo umístili název společnosti vedle sebe. Později však vývojáři prohlížečů oznámili, že mají v plánu tuto funkci zakázat [1] .
Certifikáty EV využívají stejné metody zabezpečení jako certifikáty DV, IV a OV: vyšší úroveň zabezpečení je zajištěna nutností potvrdit existenci společnosti v certifikační autoritě.
Kritéria pro vydávání EV certifikátů jsou definována speciálním dokumentem: Guidelines for Extended Validation [2] (Guidelines for Extended Validation), aktuálně (k 1. srpnu 2019) je verze tohoto dokumentu 1.7.0. Směrnice byly vyvinuty CA/Browser Forum, organizací, jejíž členy jsou certifikační autority a prodejci internetového softwaru, stejně jako členové právnických a auditorských profesí [3] .
V roce 2005 svolal generální ředitel Comodo Group Melih Abdulhayoglu první setkání toho, co se stalo CA/Browser Forum. Účelem setkání bylo zlepšit standardy pro vydávání SSL/TLS certifikátů [4] . Dne 12. června 2007 CA/Browser Forum formálně ratifikovalo první verzi pokynů k rozšířené kontrole a dokument vstoupil okamžitě v platnost. Formální schválení vedlo k dokončení práce na zajištění infrastruktury pro identifikaci důvěryhodných webových stránek na internetu. V dubnu 2008 pak fórum CA/Browser Forum oznámilo novou verzi průvodce (1.1). Nová verze vycházela ze zkušeností certifikačních autorit a výrobců softwaru.
Důležitou motivací pro používání digitálních certifikátů s SSL/TLS je zvýšení důvěry v online transakce. To vyžaduje ověření provozovatelů webových stránek pro získání certifikátu.
Komerční tlak však vedl některé CA k zavedení certifikátů nižší úrovně (ověření domény). Certifikáty ověření domény existovaly před rozšířeným ověřením a obvykle vyžadují pouze určitý doklad o kontrole domény. Zejména v certifikátech o ověření domény není uvedeno, že daná právnická osoba má s doménou jakýkoli vztah, i když samotný web může říci, že patří právnické osobě.
Uživatelská rozhraní většiny prohlížečů zpočátku nerozlišovala mezi ověřením domény a certifikátem rozšířeného ověření . Protože jakékoli úspěšné připojení SSL/TLS vedlo k tomu, že se ve většině prohlížečů objevila zelená ikona visacího zámku, uživatelé pravděpodobně nevěděli, zda má stránka rozšířenou validaci či nikoli, nicméně od října 2020 všechny hlavní prohlížeče ikony EV odstranily. V důsledku toho by podvodníci (včetně těch, kteří se podílejí na phishingu ) mohli pomocí TLS zvýšit důvěru ve své webové stránky. Uživatelé prohlížeče si mohou ověřit identitu držitelů certifikátu prozkoumáním informací o vydaném certifikátu, které jsou v něm uvedeny (včetně názvu organizace a její adresy).
Certifikace EV jsou ověřeny jak podle základních požadavků, tak i podle pokročilých požadavků. Vyžaduje se manuální ověření doménových jmen požadovaných žadatelem, ověření proti oficiálním vládním zdrojům, ověření proti nezávislým zdrojům informací a telefonáty do společnosti. Pokud byl certifikát vydán, je v něm uloženo sériové číslo podniku registrovaného certifikační autoritou a také fyzická adresa.
Certifikáty EV mají zvýšit důvěru uživatelů, že provozovatel webových stránek je skutečně existující entita [5] .
Stále však existuje obava, že stejný nedostatek odpovědnosti, který vedl ke ztrátě důvěry veřejnosti v certifikát DV, způsobí ztrátu hodnoty certifikátů EV [6] .
Certifikáty EV mohou nabízet pouze certifikační autority kvalifikované jako třetí strany [7] a všechny certifikační autority musí dodržovat požadavky na vydávání, jejichž cílem je:
S výjimkou [8] EV certifikátů pro domény .onion není možné získat zástupný certifikát s Extended Validation – namísto toho musí být v certifikátu zahrnuty všechny FQDN a ověřeny CA [9] .
Prohlížeče, které podporují EV, zobrazují informace, že existuje certifikát EV: obvykle se uživateli při prohlížení informací o certifikátu zobrazí název a umístění organizace. Prohlížeče Microsoft Internet Explorer , Mozilla Firefox , Safari , Opera a Google Chrome podporují EV.
Pravidla rozšířené validace vyžadují, aby zúčastněné CA přidělily konkrétní EV ID poté, co CA dokončila nezávislý audit a splnila další kritéria. Prohlížeče si tento identifikátor pamatují, shodují se s identifikátorem EV v certifikátu s identifikátorem v prohlížeči pro danou certifikační autoritu: pokud se shodují, je certifikát uznán jako platný. V mnoha prohlížečích je přítomnost certifikátu EV signalizována:
Kliknutím na „zámek“ získáte další informace o certifikátu, včetně názvu certifikační autority, která certifikát EV vydala.
Následující prohlížeče definují certifikát EV: [11] :
Rozšířené ověřování podporuje všechny webové servery, pokud podporují HTTPS .
Certifikáty EV jsou standardní digitální certifikáty X.509 . Primárním způsobem identifikace certifikátu EV je odkaz na pole Zásady certifikátu . Každá certifikační autorita používá svůj identifikátor (OID) k identifikaci svých EV certifikátů a každé OID je zdokumentováno certifikační autoritou. Stejně jako u kořenových certifikačních autorit nemusí prohlížeče rozpoznat všechny, kdo vydávají certifikáty.
| Vydavatel | OID | Prohlášení o certifikační praxi |
|---|---|---|
| Actalis | 1.3.159.1.17.1 | Actalis CPS v2.3 , |
| Potvrďte důvěru | 1.3.6.1.4.1.34697.2.1 | AffirmTrust CPS v1.1 , str. čtyři |
| 1.3.6.1.4.1.34697.2.2 | ||
| 1.3.6.1.4.1.34697.2.3 | ||
| 1.3.6.1.4.1.34697.2.4 | ||
| A-Trust | 1.2.40.0.17.1.22 | a.podepsat SSL EV CPS v1.3.4 |
| buypass | 2.16.578.1.26.1.3.3 | Buypass Class 3 EV CPS |
| Camerfirma | 1.3.6.1.4.1.17326.10.14.2.1.2 | Camerfirma CPS v3.2.3 |
| 1.3.6.1.4.1.17326.10.8.12.1.2 | ||
| Skupina Comodo | 1.3.6.1.4.1.6449.1.2.1.5.1 | Comodo EV CPS , str. 28 |
| DigiCert | 2.16.840.1.114412.2.1 | DigiCert EV CPS v. 1.0.3 , str. 56 |
| 2.16.840.1.114412.1.3.0.2 | ||
| DigiNotar (nefunkční [12] ) | 2.16.528.1.1001.1.1.1.12.6.1.1.1 | N/A |
| D-důvěra | 1.3.6.1.4.1.4788.2.202.1 | D-TRUST CP |
| E Tugra | 2.16.792.3.0.4.1.1.4 | E-Tugra Certification Practice Statement (CPS) (odkaz není k dispozici) , str. 2 |
| Svěřit | 2.16.840.1.114028.10.1.2 | Svěřte EV CPS |
| ETSI | 0.4.0.2042.1.4 | ETSI TS 102 042 V2.4.1 , str. osmnáct |
| 0.4.0.2042.1.5 | ||
| Pevný profesionál | 1.3.6.1.4.1.13177.10.1.3.10 | Certifikáty zabezpečeného webového serveru SSL , str. 6 |
| GeoTrust | 1.3.6.1.4.1.14370.1.6 | GeoTrust EV CPS v. 2.6 , str. 28 |
| GlobalSign | 1.3.6.1.4.1.4146.1.1 | GlobalSign CP/CPS úložiště |
| Jdi táto | 2.16.840.1.114413.1.7.23.3 | Go Daddy CP/CPS Repository |
| Izenpe | 1.3.6.1.4.1.14777.6.1.1 | DOCUMENTACIÓN ESPECÍFICA PARA CERTIFICADOS DEL TIPO: SERVIDOR SEGURO SSL, SERVIDOR SEGURO EVV, SEDE ELECTRÓNICA Y SEDE ELECTRÓNICA EV Archivováno 30. dubna 2015 na Wayback Machine . |
| Kamu Sertifikasyon Merkezi | 2.16.792.1.2.1.1.5.7.1.9 | TÜBİTAK BİLGEM Kamu Sertifikasyon Merkezi SSL Sİ/SUE |
| Logius PKIoverheid | 2.16.528.1.1003.1.2.7 | CPS PA PKIoverheid Extended Validation Root v1.5 |
| Síťová řešení | 1.3.6.1.4.1.782.1.2.1.8.1 | Síťová řešení EV CPS v. 1.1 , 2.4.1 |
| OpenTrust/DocuSign Francie | 1.3.6.1.4.1.22234.2.5.2.3.1 | Verze zásad certifikátu CA s rozšířeným ověřením SSL |
| Kam kráčíš | 1.3.6.1.4.1.8024.0.2.100.1.2 | QuoVadis Root CA2 CP/CPS , str. 34 |
| SECOM Trust Systems | 1.2.392.200091.100.721.1 | SECOM Trust Systems EV CPS Archivováno 24. července 2011 na Wayback Machine (v japonštině), s. 2 |
| SHECA | 1.2.156.112570.1.1.3 | SHECA EV CPS |
| Starfield Technologies | 2.16.840.1.114414.1.7.23.3 | Starfield EV CPS |
| Certifikační autorita StartCom | 1.3.6.1.4.1.23223.2 | StartCom CPS , no. čtyři |
| 1.3.6.1.4.1.23223.1.1.1 | ||
| swisscom | 2.16.756.1.83.21.0 | Swisscom Root EV CA 2 CPS (v němčině), str. 62 |
| SwissSign | 2.16.756.1.89.1.2.1.1 | SwissSign Gold CP/CPS |
| T-Systems | 1.3.6.1.4.1.7879.13.24.1 | CP/CPS TeleSec Server Pass v. 3.0 , str. čtrnáct |
| tání | 2.16.840.1.113733.1.7.48.1 | Thawte EV CPS v. 3.3 , str. 95 |
| trustwave | 2.16.840.1.114404.1.1.2.4.1 | Trustwave EV CPS [1] |
| Symantec ( VeriSign ) | 2.16.840.1.113733.1.7.23.6 | Symantec EV CPS |
| Verizon Business (dříve Cybertrust) | 1.3.6.1.4.1.6334.1.100.1 | Cybertrust CPS v.5.2 Archivováno 15. července 2011 na Wayback Machine , s. dvacet |
| Wells Fargo | 2.16.840.1.114171.500.9 | WellsSecure PKI CPS [2] |
| WoSign | 1.3.6.1.4.1.36305.2 | WoSign CPS V1.2.4 , str. 21 |
Certifikáty EV byly koncipovány jako způsob, jak prokázat důvěryhodnost webu [13] , ale některé malé společnosti se domnívaly, [14] že certifikáty EV mohou poskytnout výhodu pouze velkým podnikům. Tisk zaznamenal, že existují překážky při získávání certifikátu [14] . Verze 1.0 byla revidována tak, aby umožňovala registraci certifikátů EV, včetně malých podniků, což zvýšilo počet vydaných certifikátů.
V roce 2006 provedli vědci ze Stanfordské univerzity a Microsoft Research výzkum toho, jak se certifikáty EV [15] zobrazují v Internet Exploreru 7 . Podle výsledků studie "Lidé, kteří nebyli důvtipní v prohlížeči, nevěnovali pozornost EV SSL a nebyli schopni dosáhnout lepších výsledků než kontrolní skupina." Zároveň "účastníci, kteří byli požádáni, aby si přečetli soubor nápovědy , chtěli přijmout skutečné stránky i falešné stránky jako správné."
Když mluví o EV, tvrdí, že tyto certifikáty pomáhají chránit před phishingem [16] , ale novozélandský expert Peter Gutman se domnívá, že ve skutečnosti je efekt v boji proti phishingu minimální. Podle jeho názoru jsou EV certifikáty jen způsob, jak přimět lidi, aby platili více peněz [17] .
Názvy společností mohou být stejné. Útočník si může zaregistrovat vlastní společnost se stejným názvem, vytvořit SSL certifikát a web tak vypadat jako původní. Vědec vytvořil společnost "Stripe, Inc." v Kentucky a všimli si, že nápis v prohlížeči je velmi podobný nápisu společnosti Stripe, Inc se sídlem v Delaware . Vědec spočítal, že registrace takového certifikátu ho stála pouhých 177 dolarů (100 dolarů za registraci společnosti a 77 dolarů za certifikát). Všiml si, že na pár kliknutí myší můžete vidět registrační adresu certifikátu, ale většina uživatelů to neudělá: prostě budou věnovat pozornost adresnímu řádku prohlížeče [18] .
Dalším využitím EV-certifikátů, kromě ochrany stránek, je podepisování kódu programů, aplikací a ovladačů. Pomocí specializovaného certifikátu EV Code Signing podepisuje vývojář svůj kód, čímž potvrzuje jeho autorství a znemožňuje neoprávněné změny.
V moderních verzích operačního systému Windows vede pokus o spuštění spustitelných souborů bez podpisu Code Signing k zobrazení varování bezpečnostní součásti SmartScreen o nepotvrzeném vydavateli. Mnoho uživatelů v této fázi může ze strachu z nezabezpečeného zdroje odmítnout instalaci programu, takže podepsání EV certifikátu Code Signing zvyšuje počet úspěšných instalací. [19]
Ben Wilson. Kritéria auditu . Fórum CAB. Staženo: 23. srpna 2019.