شهادة التحقق الموسع

في عام ٢٠٠٥، عقد مليح عبد الحي أوغلو ، الرئيس التنفيذي لمجموعة كومودو ( المعروفة حاليًا باسم إكسيتيوم )، الاجتماع الأول للمنظمة التي أصبحت فيما بعد منتدى هيئات إصدار الشهادات/المتصفحات ، بهدف تحسين معايير إصدار شهادات SSL/TLS. ^{[ ٣ ]} في ١٢ يونيو ٢٠٠٧، صادق منتدى هيئات إصدار الشهادات/المتصفحات رسميًا على النسخة الأولى من إرشادات التحقق الموسع (EV) لشهادات SSL، والتي دخلت حيز التنفيذ فورًا. وقد اختتمت هذه الموافقة الرسمية بنجاح أكثر من عامين من الجهود، ووفرت البنية التحتية لهوية مواقع الويب الموثوقة على الإنترنت. ^{[ ٤ ]} ثم، في أبريل ٢٠٠٨، أعلن المنتدى عن الإصدار ١.١ من الإرشادات، مستندًا إلى الخبرة العملية التي اكتسبتها هيئات إصدار الشهادات الأعضاء وموردي برامج التطبيقات التابعة لها خلال الأشهر التي تلت الموافقة على الإصدار الأول.

بعد فترة وجيزة من وضع معيار EV، قامت معظم المتصفحات الرئيسية بإنشاء مؤشرات خاصة لواجهة المستخدم للصفحات التي يتم تحميلها عبر بروتوكول HTTPS المؤمن بشهادة EV. ويشمل ذلك جوجل كروم 1.0، وإنترنت إكسبلورر 7.0، وفايرفوكس 3، وسفاري 3.2، وأوبرا 9.5. ^{[ 5 ]} علاوة على ذلك، أضافت بعض متصفحات الأجهزة المحمولة، مثل سفاري لنظام iOS، وويندوز فون، وفايرفوكس لنظام أندرويد، وكروم لنظامي أندرويد وiOS، مؤشرات مماثلة لواجهة المستخدم . عادةً ما تعرض المتصفحات التي تدعم EV الهوية الموثقة - والتي تتكون عادةً من اسم المؤسسة والولاية القضائية - الموجودة في حقل "الموضوع" الخاص بشهادة EV.

في معظم التطبيقات، تتضمن الشاشة المحسّنة ما يلي:

• اسم الشركة أو الكيان الذي يمتلك الشهادة؛
• رمز القفل، الموجود أيضاً في شريط العنوان، والذي يختلف لونه تبعاً لحالة أمان الموقع الإلكتروني.

بالنقر على رمز القفل، يمكن للمستخدم الحصول على مزيد من المعلومات حول الشهادة، بما في ذلك اسم جهة إصدار الشهادات التي أصدرت شهادة EV. ^{[ 6 ]}

في مايو 2018، أعلنت جوجل عن خطط لإعادة تصميم واجهات مستخدم جوجل كروم لإزالة التركيز على شهادات التحقق الموسع (EV). ^{[ 7 ]} في كروم 77، الذي صدر عام 2019، أُزيل مؤشر شهادة التحقق الموسع من شريط العناوين، ولكن يمكن الاطلاع على حالة شهادة التحقق الموسع بالنقر على أيقونة القفل ثم التحقق من اسم الكيان القانوني المُدرج كـ "صادر إلى" ضمن "الشهادة". ^{[ 8 ]} في فايرفوكس 70، أُزيل التمييز في شريط العناوين (تُعرض شهادات التحقق الموسع والتحقق الرقمي بشكل مماثل باستخدام أيقونة القفل فقط)، ولكن يمكن الوصول إلى تفاصيل حالة شهادة التحقق الموسع في العرض الأكثر تفصيلاً الذي يُفتح بعد النقر على أيقونة القفل. ^{[ 9 ]}

أزال متصفح Apple Safari على نظامي التشغيل iOS 12 و macOS Mojave (الذي صدر في سبتمبر 2018) التمييز المرئي لحالة السيارة الكهربائية. ^{[ 1 ]}

أسماء الكيانات القانونية ليست فريدة، لذا قد يقوم مهاجم يرغب في انتحال شخصية كيان ما بتأسيس شركة أخرى بنفس الاسم (ولكن، على سبيل المثال، في ولاية أو بلد مختلف) والحصول على شهادة صالحة لها، ثم يستخدم هذه الشهادة لانتحال شخصية الموقع الأصلي. في إحدى التجارب، أسس باحث شركة باسم "Stripe, Inc." في كنتاكي، وأظهر أن المتصفحات تعرضها بشكل مشابه لعرضها لشهادة معالج الدفع " Stripe, Inc. " المسجلة في ديلاوير . وادعى الباحث أن إعداد التجربة استغرق منه حوالي ساعة، وكلف 100 دولار أمريكي تكاليف قانونية، و77 دولارًا أمريكيًا ثمن الشهادة. كما أشار إلى أنه "مع عدد كافٍ من نقرات الماوس، قد يتمكن المستخدم من رؤية المدينة والولاية [حيث تم تأسيس الكيان]، لكن لا يفيد أي منهما المستخدم العادي، ومن المرجح أن يثق المستخدم ثقة عمياء بمؤشر [شهادة التحقق الموسع]". ^{[ 19 ]}

نظراً للترويج لشهادات التحقق الموسع (EV) والإبلاغ عنها ^{[ 20 ]} كعلامة على موثوقية المواقع الإلكترونية، فقد أعرب بعض أصحاب المشاريع الصغيرة عن مخاوفهم ^{[ 21 ]} من أن هذه الشهادات تمنح ميزة غير عادلة للشركات الكبيرة. وقد استبعدت المسودات المنشورة لإرشادات التحقق الموسع ^{[ 22 ]} الكيانات التجارية غير المسجلة، وركزت التقارير الإعلامية المبكرة ^{[ 21 ]} على هذه المسألة. وتم تنقيح الإصدار 1.0 من إرشادات التحقق الموسع ليشمل الجمعيات غير المسجلة شريطة أن تكون مسجلة لدى جهة معترف بها، مما وسّع بشكل كبير عدد المنظمات المؤهلة للحصول على شهادة التحقق الموسع.

في عام 2006، أجرى باحثون من جامعة ستانفورد ومايكروسوفت للأبحاث دراسة حول سهولة استخدام ^{[ 23 ]} لشاشة التحقق الموسع في متصفح إنترنت إكسبلورر 7. وخلصت ورقتهم البحثية إلى أن "المشاركين الذين لم يتلقوا أي تدريب على ميزات أمان المتصفح لم يلاحظوا مؤشر التحقق الموسع ولم يتفوقوا على المجموعة الضابطة"، في حين أن "المشاركين الذين طُلب منهم قراءة ملف مساعدة إنترنت إكسبلورر كانوا أكثر عرضة لتصنيف كل من المواقع الحقيقية والمزيفة على أنها شرعية".

بينما يدّعي مؤيدو شهادات التحقق الموسّع (EV) أنها تُساعد في مكافحة هجمات التصيّد الاحتيالي، ^{[ 24 ]} يُشير خبير الأمن بيتر غوتمان إلى أن هذا النوع الجديد من الشهادات يُعيد أرباح هيئات إصدار الشهادات التي تآكلت بسبب التنافس الشديد بين مُصدري الشهادات في هذا القطاع. ووفقًا لبيتر غوتمان، فإن شهادات التحقق الموسّع غير فعّالة ضد التصيّد الاحتيالي لأنها "لا تُعالج أي مشكلة يستغلها المُحتالون". ويُشير إلى أن هيئات إصدار الشهادات التجارية الكبرى قد طرحت شهادات التحقق الموسّع لاستعادة الأسعار المرتفعة السابقة. ^{[ 25 ]}