EV certifikati ne pružaju dodatnu snagu šifriranja - umjesto toga, EV certifikat pokazuje da je izvršena opširna provjera identiteta web mjesta. Standardni SSL certifikati pružaju vrlo malo provjere identiteta web stranice.
Kako preglednici prikazuju potvrde o produljenoj valorizaciji
Na šifriranoj web stranici koja ne koristi prošireni certifikat, Firefox kaže da je web mjesto "pokrenuto (nepoznato)".
Problem s SSL certifikatima
Prije godina, tijela za izdavanje potvrda koriste se za provjeru identiteta web mjesta prije izdavanja certifikata. Tijelo certifikata provjerilo je li tvrtka koja je zatražila certifikat bila registrirana, nazovite telefonski broj i provjerite je li poslovanje legitimna operacija koja se podudara s webom.
Konačno, tijela za izdavanje certifikata počela su ponuditi certifikate "samo domene". To su bile jeftinije, jer je manje posla za ovlaštenje za izdavanje certifikata da brzo provjerava je li podnositelj zahtjeva posjedovao određenu domenu (web mjesto).
Phishers su konačno počeli iskoristiti ovo. Fisher mogao registrirati domenu paypall.com i kupiti certifikat samo za domenu. Kada se korisnik spoji na paypall.com, korisnikov preglednik bi prikazao standardnu ikonu zaključavanja, pružajući lažni osjećaj sigurnosti. Preglednici nisu prikazali razliku između certifikata samo za domene i potvrde koja uključuje veću provjeru identiteta web mjesta.
Palo je povjerenje javnosti u ovlasti certifikata za provjeru web stranica - ovo je samo jedan primjer ovlaštenja certifikata koji nisu uspjeli napraviti njihovu dubinsku analizu. Zaklada Electronic Frontier je tijekom 2011. godine utvrdila da su ovlaštenja za izdavanje certifikata izdala više od 2000 certifikata za "localhost" - naziv koji se uvijek odnosi na vaše trenutno računalo. (Izvor) U pogrešnim rukama, takav certifikat mogao bi olakšati napade na čovjeka u sredini.
Kako su prošireni certifikati za provjeru valjanosti
Certifikat EV pokazuje da je autoritet certifikata potvrdio da web mjesto upravlja određena organizacija. Na primjer, ako je phisher pokušao dobiti EV certifikat za paypall.com, zahtjev će biti odbijen.
Za razliku od standardnih SSL certifikata, samo tijela za izdavanje certifikata koji prolaze nezavisnu reviziju mogu izdati EV certifikate. Tijelo za izdavanje certifikata / Forum za preglednike (CA / Browser Forum), dobrovoljna organizacija certifikacijskih tijela i prodavača preglednika kao što su Mozilla, Google, Apple i Microsoft izdaju stroge smjernice koje moraju slijediti sva tijela za izdavanje potvrda o potvrdi. Ovo idealno sprječava ovlaštene osobe za certifikaciju da se uključe u drugu "utrku na dno", gdje upotrebljavaju praksu provjere lažnih postupaka kako bi imale jeftinije potvrde.
Ukratko, smjernice zahtijevaju da ovlaštena tijela potvrde da je organizacija koja traži potvrdu službeno registrirana, da posjeduje predmetnu domenu i da osoba koja traži certifikat djeluje u ime organizacije. To uključuje provjeru državnih zapisa, kontaktiranje vlasnika domene i kontaktiranje organizacije radi potvrde da osoba koja traži certifikat funkcionira za organizaciju.
Nasuprot tome, potvrda certifikata samo za domene može uključivati samo pregled onih koji registriraju kako bi potvrdili da registrant koristi iste podatke. Izdavanje certifikata za domene poput "localhost" podrazumijeva da neke ovlaštene osobe za ovjeru ne rade toliko provjere. EV certifikati su, u osnovi, pokušaj obnove javnog povjerenja u ovlasti certifikata i vraćanje njihove uloge kao vratara protiv varalica.
