chrome不显示地址栏_Firefox和Chrome为何要革EV证书的命

在最新版本的 Firefox 和 Chrome 中&＃xff0c;访问使用 EV 证书的 https 站点时&＃xff0c;地址栏不显示绿色的锁头图标和公司信息&＃xff0c;取而代之的是和 DV 证书站点相同的灰色锁头图标。

早在今年8月份&＃xff0c;Firefox 就宣布在10月发布 70.0 版本时将取消 EV 证书的特殊显示待遇。理由大致是&＃xff1a;

1. 额外的公司信息让用户迷惑&＃xff0c;占用屏幕空间&＃xff1b;
2. 强调 EV 证书影响用户认知&＃xff0c;耽误推进让用户无感知的默认 https 体验进程&＃xff1b;
3. 用户并不在意 EV 证书的绿色标识&＃xff0c;反欺诈作用并不显著。
4. Safari 从去年开始就隐藏了公司信息。

然而&＃xff0c;他们比 Safari 更加激进&＃xff0c;统一显示为灰色的图标。这一消息被看作是证书行业的重大利空。号称能让浏览器地址栏变绿的各大 EV 证书商&＃xff0c;心里有一万句妈卖皮&＃xff0c;不知能跟谁讲。

浏览器与证书商之间的矛盾由来已久&＃xff0c;Chrome 㨃证书商也不头一次了&＃xff0c;8月份时就曾提议缩减证书有效期&＃xff0c;并遭到了拒绝。那么&＃xff0c;EV 证书真的没有存在的必要了吗&＃xff1f;

EV 与 UI 设计

在显示器分辨率普遍宽度为 1920 的今天&＃xff0c;留给浏览器地址栏的宽度至少有 1200 像素。在 Firefox 的界面中&＃xff0c;地址栏前后各有一块留白空间&＃xff1b;内部左侧是隐私图标&＃xff0c;右侧是阅读模式和插件快捷图标。这么空旷的地址栏&＃xff0c;若说容不下「宝鸡有一群怀揣着梦想的少年相信在牛大叔的带领下会创造生命的奇迹网络科技有限公司」这么长的公司名还有点道理&＃xff0c;可是连「PayPal Inc.」「Apple Inc.」都放不下吗&＃xff1f;

当然浏览器也并非都是以最大化窗口运行的&＃xff0c;Firefox 又怎么处理地址栏的呢&＃xff1f;他们把 URL 藏起来一部分……那么&＃xff0c;为什么公司信息不能得到同样的待遇呢&＃xff1f;我见过一些小白用户&＃xff0c;几乎从来不手动输入 URL&＃xff0c;都是在搜索引擎查关键字&＃xff0c;点击链接进入网站的&＃xff1b;对这些人来说&＃xff0c;让人迷惑的 URL 也没有什么用&＃xff0c;复杂的按钮也没有什么用&＃xff0c;干脆藏起来好了&＃xff0c;这可是能省下一大块的屏幕空间的。

在移动版本里&＃xff0c;横向的空间的确是非常有限&＃xff0c;甚至默认只显示域名&＃xff0c;点击之后才看得到完整的 URL。那么把 EV 的信息分成两行显示在域名上面&＃xff0c;也不是什么难事啊。

用户虽然懒&＃xff0c;但并不傻。公司信息让人迷惑&＃xff0c;并不成为一个问题&＃xff1b;最新版的 Firefox 中只显示了一句「Certificate issued to: PayPal Inc.」这种语焉不详的描述&＃xff0c;才是让人迷惑的根源。点击公司信息时&＃xff0c;提示一句「经 XXX 验证&＃xff0c;该网站由 PayPal Inc. 运营/所有」&＃xff0c;傻子都知道什么意思。

EV 与无感知 HTTPS

Mozilla 和 Google 认为的无感知 HTTPS 就是管你是 EV/OV/DV&＃xff0c;统统显示个小黑锁好啦。毕竟为了无感知&＃xff0c;他们都敢隐藏掉 http:// 和 www。无感知 HTTPS 也是一个不存在的需求&＃xff0c;不安全、传输安全、商业安全并不能简化为不安全和安全。浏览者并不是 HTTPS 推广的阻力&＃xff0c;浏览者能否区分黑锁和绿锁并不能自动让网站支持 HTTPS。

连专制的满清政府都知道&＃xff0c;为了执行剃头令&＃xff0c;只杀不愿留辫子的就行了&＃xff0c;没必要连金钱鼠尾的小辫子旗人都杀掉。想象一下满清大兵对你说&＃xff0c;我们要的是无感知辫子&＃xff0c;你留的头发太少了&＃xff0c;影响了其他人对辫子的认知&＃xff0c;拉下去砍了&＃xff01;

EV 与反欺诈

用户不在意 EV&＃xff0c;这是浏览器和证书商的问题&＃xff0c;宣传不力。用户不在意的东西多了&＃xff0c;包括 HTTPS。用户懒得敲 https://&＃xff0c;业内提出了 HSTS Preload&＃xff0c;而不是放弃 HTTPS。

用户也不在意 Windows 驱动和 Mac OS App 的代码签名证书啊&＃xff0c;你们怎么不把签名信息藏起来呢&＃xff1f;哦&＃xff0c;抱歉&＃xff0c;这是人家微软和苹果操作系统的事儿&＃xff0c;Mozilla 和 Google 想管也管不着。

部分用户刚刚开始注意到了证书绿色的含义&＃xff0c;废掉 EV 对反反欺诈的助力倒是很显著。如果你收到一封邮件&＃xff0c;里面有一个链接「https://www.аpple.com」&＃xff0c;允许你看 HTML 源码&＃xff0c;你敢点开吗&＃xff1f;放心地点吧&＃xff0c;虽然这不是苹果官网。目前为止这还是一个不存在的网站。网址里的 а 并不是普通的小写字母 a。

推友&＃64;ViafaSia 还发现了一个经过 Let&＃39;s Encrypt 办法 DV 证书的钓鱼网站&＃xff0c;网址里的 apple 每一个字母都是相似的字符。这里还有一个&＃xff0c;https://раураӏ.com &＃xff0c;请用您的 Firefox 打开&＃xff0c;对比一下真正的 https://paypal.com 您就明白&＃xff0c;Mozilla 跟 Google 站在一起是多么愚蠢&＃xff0c;因为 Chrome 对 IDN 域名显示的方式并不一样。

你可能掌握了一些小技巧来识别伪装的链接&＃xff0c;比如鼠标放在链接上看浏览器状态栏的真实网址&＃xff0c;或者留意是否为 HTTPS 链接。但依然逃不过高级钓鱼网站。

EV 与 Safari

Safari 虽然早早地就藏起了EV公司信息&＃xff0c;但直到最新发布的 iOS/iPad OS 13.2 和 Catalina&＃xff0c;Safari 仍然为 EV 证书站点显示为绿色的地址栏。Google 携用户为天子&＃xff0c;阻塞圣听以令各证书商诸侯&＃xff0c;且一副「苹果敢点灯&＃xff0c;我就敢放火」的州官嘴脸&＃xff0c;Mozilla 则显露出跟在州官后面扇风的狗腿子姿态。

证书商们一直以来躺着挣钱&＃xff0c;Google 看不顺眼&＃xff0c;Chrome 做大了之后有了话语权&＃xff0c;终于可以指手划脚了。有 Mozilla 支持还不够&＃xff0c;顺便拉 Safari 下水来给自己正名罢了。

有人说&＃xff0c;EV 那么贵&＃xff0c;又不支持 Wildcard&＃xff0c;打压一下也是好的。Google 完全有能力可以推出竞品来促进行业发展啊&＃xff0c;但如今这架势看是要把 EV 直接打死了。

EV 会有何变化&＃xff1f;

也许 EV 从此退出历史舞台&＃xff0c;也许经各方博弈之后重获新生。证书商们也该采取点行动了。

1. 由 EV 上游企业&＃xff0c;向浏览器厂家交钱&＃xff0c;毕竟脖子在人家手里掐着&＃xff0c;赚了钱应该分点&＃xff1b;
2. 像 HSTS 一样&＃xff0c;提供一个 PRELOAD 列表&＃xff08;或者更好用的 HPKP&＃xff09;&＃xff0c;使用 EV 证书的站点自动提交到列表中&＃xff1b;判断域名相似程度&＃xff0c;达到阈值且非 EV 证书直接提示用户并报告反欺诈组织&＃xff1b;
3. 降价&＃xff0c;趁 HTTPS 普及之势&＃xff0c;向企业和组织普及 EV/OV。

原发表于&＃xff1a;Firefox 和 Chrome 为何要革 EV 证书的命