Extended-Validation-Zertifikat
Extended-Validation-SSL-Zertifikate (EV-SSL; deutsch etwa „Zertifikate mit erweiterter Überprüfung“) sind X.509 SSL-Zertifikate, deren Ausgabe an strengere Vergabekriterien gebunden ist. Dies bezieht sich vor allem auf eine detaillierte Überprüfung des Antragstellers durch die Zertifizierungsstelle. Die Vergabekriterien sind in den „Richtlinien für Extended-Validation-Zertifikate“[1] spezifiziert. Die Richtlinien werden vom CA/Browser Forum herausgegeben, einem freiwilligen Zusammenschluss von Zertifizierungsstellen und Browser-Herstellern.
Genutzt werden die Zertifikate meist, um Webanwendungen per HTTPS zu sichern und den Anwendern vor dem Hintergrund von Phishing-Angriffen eine zusätzliche Sicherheit zu geben, etwa beim Online Banking.
Motivation
BearbeitenDas vorrangige Ziel der EV-SSL-Zertifikate ist es, Phishing mit verschlüsselten und damit auf den ersten Blick sicheren Websites zu erschweren. Durch die Einführung eines neuen, „erweiterten“ Zertifikats und der früher grün hinterlegten Adresszeile des Browsers sollte das Vertrauen der Benutzer in die sichere Verbindung zur gewünschten Websites gestärkt werden.
Die Ausgabe von SSL-Zertifikaten ist zwar grundsätzlich an eine Überprüfung des Antragstellers gebunden, der Preisdruck unter den Anbietern hat aber zu einer teilweise laxen Vergabepraxis und zu vereinfachten Zertifikaten geführt, die nicht mehr als den Domain-Namen zertifizieren. Damit können auch Betrüger SSL-Zertifikate zur Steigerung ihrer Glaubwürdigkeit verwenden, ohne ihre Identität preisgeben zu müssen. Die Leistung der Anbieter, den Inhaber einer Domain zu prüfen und ihm ein SSL-Zertifikat auszustellen, steht mit dem Let’s Encrypt-Projekt inzwischen kostenfrei zur Verfügung.
Kritiker sehen in dem neuen Standard teils den Versuch der Zertifizierungsstellen, sich dem Preiskampf in der SSL-Zertifikat-Ausgabe durch die Einführung eines neuen Premium-Produktes zu entziehen, das dem Benutzer wenig zusätzliche Sicherheit bringt, und das auch mit anderen Mitteln zu erreichen wäre. Auch könnten kleinere Anbieter geschäftlich benachteiligt werden.[2] In der Version 1.1[3] wurde teils versucht, diese Einwände zu berücksichtigen.
Geschichte
BearbeitenEV-Zertifikate wurden im Jahr 2007 durch das CA/Browser Forum eingeführt.[4] Daraufhin bauten alle großen Browser-Hersteller eine visuelle Unterscheidung zwischen regulären und EV-Zertifikaten in die Adresszeile ein.
Im August 2019 wurde für die Browser Google Chrome 77 und Firefox 70 ein Redesign angekündigt, bei dem die besondere Darstellung der EV-Zertifikate durch die grün hinterlegte Adresszeile im Browser entfällt.[5][6] Die Chrome-Entwickler begründen diesen Schritt mit einer zu geringen Wirksamkeit der visuellen Indikatoren in der Adresszeile.[7] Informationen zur erweiterten Validierung erhält der Benutzer in diesen Browsern aktuell nur über die jeweilige Detailanzeige zu Zertifikaten bei geschützten Websites. Inzwischen zeigt keiner der verbreiteten Browser den besonderen Status des Zertifikats mehr an, wodurch für Seitenbetreiber, die mit der Sicherheit ihrer Webpräsenz zuvor innerhalb des Browsers werben konnten, die Werbewirksamkeit und die besondere Attraktivität des EV-SSL-Zertifkats gegenüber einem herkömmlichen SSL-Zertifikat entfällt.
Vergabekriterien
BearbeitenUm EV-SSL-Zertifikate ausstellen zu dürfen, müssen sich die Zertifizierungsstellen selbst einer Überprüfung unterziehen. Die Vergabe der Zertifikate ist unter anderem an folgende Kriterien gebunden:
- Feststellung der Identität und der Geschäftsadresse des Antragstellers
- Sicherstellung, dass der Antragsteller ausschließlicher Eigentümer der Domain ist oder eine exklusive Nutzungsberechtigung hat
- Sicherstellung, dass die antragstellenden Personen befugt sind und dass rechtlich bindende Dokumente von zeichnungsberechtigten Personen unterschrieben werden
Ein EV-Zertifikat kann ausgestellt werden für:
- Behörden
- Kapitalgesellschaften
- Personengesellschaften
- Eingetragene Vereine
- Eingetragene Einzelunternehmer
Weblinks
Bearbeiten- EV SSL Certificate Guidelines Version 1.7.0 PDF-Datei – aktuelle Version der Richtlinien (stand 29. Oktober 2019)
Einzelnachweise
Bearbeiten- ↑ Guidelines for Extended Validation Certificates 1.0
- ↑ „Software to Spot ‚Phishers‘ Irks Small Concerns“ ( des vom 15. April 2008 im Internet Archive) Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis., Wall Street Journal, 19. Dezember 2006
- ↑ Version 1.1 der Guidelines for Extended Validation Certificates (Seite nicht mehr abrufbar, festgestellt im April 2018. Suche in Webarchiven) Info: Der Link wurde automatisch als defekt markiert. Bitte prüfe den Link gemäß Anleitung und entferne dann diesen Hinweis.
- ↑ https://cabforum.org/wp-content/uploads/EV_Certificate_Guidelines.pdf
- ↑ https://www.ghacks.net/2019/08/13/mozilla-revamps-firefoxs-https-address-bar-information/
- ↑ Google, Mozilla: We're changing what you see in Chrome, Firefox address bars. In: ZDNet.
- ↑ https://chromium.googlesource.com/chromium/src/ /HEAD/docs/security/ev-to-page-info.md
