为什么我们需要表明身份：EV证书的价值

Posted 2020-10-01

尽管备受争议，扩展验证证书仍拥有巨大的价值......

上周，一位以“我已经被攻破了吗？”工具闻名的安全专家、教育家Troy Hunt，写了一篇很长的专栏文章，论述扩展验证（EV）证书的价值。

在这篇文章中，他对EV证书的价值以及用户是否注意到EV证书提出了疑问。他得出结论：

“底线是，迄今为止，EV证书的有效性完全依赖于人们是否认可它们以及实际上是否相应地改变自己的行为。这是很难争辩的···”

诚然，EV证书的确依赖于用户对它们是否关注以及是否使用那些信息。但这就意味着EV证书没有价值吗？

在深入探讨这个问题前，让我们来看一看各种验证的区别：

域验证（DV）和扩展验证（EV）是SSL证书的两个主要类别。DV正如其名，只能确定你的浏览器地址栏中显示的域是该证书的所有者。这是使用一种自动化的技术手段实现的——如为上述域创建一个单独的DNS记录。

EV证书也同样这么做，但除此之外，它们还会确认网站是由一个合法建立的公司运营的。这是由证书颁发机构的工作人员在政府机构的官方数据库和其他可靠数据源的帮助下完成的。公司的名称（以及公司是在哪个国家注册的）会在终端用户的浏览器中显示：

正如Troy所说，DV证书会告诉你“该连接是安全的”，而EV证书会告诉你“该连接是安全的，并且你知道你正在和谁对话”。

在互联网上，知道你正在和谁对话是非常有价值的。花费在外面吃一顿正餐的钱，你就可以创建一个网站并宣称代表任何人（或任何事物），而不需要提供太多个人信息。

考虑到互联网上虚假网站和钓鱼网站的绝对数量，我认为我们所有人都会对以下观点表示同意：了解更多关于网站运营者的信息是有益的。

你的计算机并不真正了解它所访问的网站的任何事情。它将会愉快地为你展示你所访问的任何主机名或IP地址的内容。

对你的浏览器来说，Paypal.com和FakePaypal.com只是两个不同的地址而已。对于人来说，显而易见的是，这两个网站中有一个不是真正的Paypal网站（尽管在真正的钓鱼网站中，差别不会如此明显）。你的计算机只看到另一个具有html、CSS、javascript和其它可以为你显示的文件的互联网地址。

从技术视角来看，这正是你的浏览器需要做的事。尽管这往往不符合用户的目的，因为这些用户对连接到合法网站比对DNS和IP路由的技术奇迹感兴趣得多。

当我们纵观全局时，可以看到谷歌的Chrome浏览器的设计也符合这一观点：

我们Chrome浏览器安全团队建议，用户代理（UA）逐步将他们的UX转变为将非安全来源显示为“肯定非安全”。为的是更清楚地向用户显示HTTP有多么不安全。

T0（目前）：非安全来源未被标注

T1：非安全来源被标注为可疑的

T2：非安全来源被标注为非安全的

T3：安全来源未被标注

目前，我们正处于该计划的“T0”和“T1”两个阶段之间——今年晚些时候，Chrome浏览器会开始在更多的HTTP网页上显示“非安全”警告。

Chrome浏览器想要这样做的原因之一在于一台计算机要确定你的连接的安全性的难度到底有多大。

HTTPS只能保证你的数据被安全地发送到你连接的服务器。此后发生的事情就没人知道了。

Cloudflare的灵活SSL在你和Cloudflare之间提供了一个安全连接，但并不是从Cloudflare到原始服务器，它就是一个浏览器不了解你的数据在互联网上全部行程的例子。

Chrome浏览器可能并不喜欢把确认你的连接是否安全作为自己的责任。它只会在知道连接不安全时做出一些提示，因为这就是所有它能够做到的。

相对比较简单的是判断网站是否合法或你是否需要向网站提供个人信息或信用卡信息。有希望的是，我们都知道那是因为一个网站使用HTTPS并不一定意味着你向它提供个人信息是个好主意。

这一决定所需要的信息比HTTPS所能提供的技术保证要多，所以这种判断需要由用户来做出。

但这并不是说就没有其他机制来保护用户。像谷歌安全浏览和微软SmartScreen这样的系统，对于保护用户免受钓鱼网站以及被报告受到恶意软件感染的网站侵害来说，具有非常重要的价值。

然而，这些系统并不完美。它们有时候会花费超过一天的时间才能标识出一个网站，这意味着错失了重要的时间窗口，在此期间很多用户受到了侵害。这些系统也没有被用来建立网站的身份，因此只能部分实现EV证书的目标。

Troy说，“EV证书是一种人为控制的证书”，这是一个问题。但评估一家网站在现实世界中的身份和合法性并不是我们的浏览器适合做的事情。毕竟，从技术观点来看，你的浏览器只是想让你登录到FakePaypal.com，因为它的确是一个真实的网站。

EV证书的价值是显而易见的。它的价值就在于，它有能力比你的浏览器了解网站的更多信息，而浏览器只能通过连接到主机名、解析证书文件以及核实加密密钥来评估一个网站。

EV证书——以及所有与HTTPS相关的指标——可以变得让用户更容易理解，在这一点上Troy也是对的。这个例子就是明证——在Chrome浏览器半近期重新设计之前，用户识别和理解挂锁图标是非常困难的。一些用户将它误认为是一个钱包。

但这并未消除对于网络身份识别的需要或降低EV证书的价值。它只是意味着，我们需要更好的解释——这是当涉及到安全和一般的互联网用户时的共同主题。