Certificado de validación extendida

En 2005, Melih Abdulhayoglu , CEO del Grupo Comodo ( actualmente conocido como Xcitium ), convocó la primera reunión de la organización que se convertiría en el CA/Browser Forum , con la esperanza de mejorar los estándares para la emisión de certificados SSL/TLS. ^{[ 3 ]} El 12 de junio de 2007, el CA/Browser Forum ratificó oficialmente la primera versión de las Directrices SSL de Validación Extendida (EV), que entró en vigor de inmediato. La aprobación formal puso fin con éxito a más de dos años de esfuerzo y proporcionó la infraestructura para la identidad confiable de los sitios web en Internet. ^{[ 4 ]} Luego, en abril de 2008, el foro anunció la versión 1.1 de las directrices, basándose en la experiencia práctica de sus CA miembros y proveedores de software de aplicaciones de partes confiables obtenida en los meses posteriores a la aprobación de la primera versión para su uso.

La mayoría de los navegadores principales crearon indicadores de interfaz de usuario especiales para las páginas cargadas a través de HTTPS protegidas por un certificado EV poco después de la creación del estándar. Esto incluye Google Chrome 1.0, Internet Explorer 7.0, Firefox 3, Safari 3.2 y Opera 9.5. ^{[ 5 ]} Además, algunos navegadores móviles, incluidos Safari para iOS, Windows Phone, Firefox para Android, Chrome para Android e iOS, agregaron dichos indicadores de interfaz de usuario . Por lo general, los navegadores con soporte para EV muestran la identidad validada (normalmente una combinación del nombre de la organización y la jurisdicción) contenida en el campo "sujeto" del certificado EV.

En la mayoría de las implementaciones, la pantalla mejorada incluye:

• El nombre de la empresa o entidad propietaria del certificado;
• Un símbolo de candado, también en la barra de direcciones, cuyo color varía según el estado de seguridad del sitio web.

Al hacer clic en el símbolo del candado, el usuario puede obtener más información sobre el certificado, incluido el nombre de la autoridad de certificación que emitió el certificado EV. ^{[ 6 ]}

En mayo de 2018, Google anunció planes para rediseñar las interfaces de usuario de Google Chrome para eliminar el énfasis en los certificados EV. ^{[ 7 ]} Chrome 77, lanzado en 2019, eliminó la indicación del certificado EV de la barra de direcciones, pero el estado del certificado EV se puede ver haciendo clic en el icono del candado y luego verificando el nombre de la entidad legal que aparece como "emitido a" debajo de "certificado". ^{[ 8 ]} Firefox 70 eliminó la distinción en la barra de direcciones o barra de URL (los certificados EV y DV se muestran de manera similar con solo un icono de candado), pero los detalles sobre el estado del certificado EV son accesibles en la vista más detallada que se abre después de hacer clic en el icono del candado. ^{[ 9 ]}

Apple Safari en iOS 12 y macOS Mojave (lanzado en septiembre de 2018) eliminó la distinción visual del estado EV. ^{[ 1 ]}

Los nombres de las entidades legales no son únicos; por lo tanto, un atacante que quiera suplantar la identidad de una entidad podría constituir una empresa diferente con el mismo nombre (pero, por ejemplo, en un estado o país diferente) y obtener un certificado válido para ella, para luego usar dicho certificado para suplantar la identidad del sitio original. En una demostración, un investigador constituyó una empresa llamada "Stripe, Inc." en Kentucky y demostró que los navegadores la muestran de forma similar a como muestran el certificado del procesador de pagos " Stripe, Inc. " constituido en Delaware . El investigador afirmó que la configuración de la demostración le llevó aproximadamente una hora, 100 dólares estadounidenses en gastos legales y 77 dólares estadounidenses por el certificado. Además, señaló que "con suficientes clics del ratón, [el usuario] podría [ver] la ciudad y el estado [donde está constituida la entidad], pero ninguno de estos datos es útil para un usuario típico, y probablemente confiará ciegamente en el indicador [certificado EV]". ^{[ 19 ]}

Dado que los certificados EV se promocionan y se presentan ^{[ 20 ]} como una señal de un sitio web confiable, algunos propietarios de pequeñas empresas han expresado su preocupación ^{[ 21 ]} de que los certificados EV otorguen una ventaja indebida a las grandes empresas. Los borradores publicados de las Directrices EV ^{[ 22 ]} excluían a las entidades comerciales no constituidas, y los primeros informes de los medios ^{[ 21 ]} se centraron en ese tema. La versión 1.0 de las Directrices EV se revisó para incluir a las asociaciones no constituidas siempre que estuvieran registradas en una agencia reconocida, lo que amplió considerablemente el número de organizaciones que calificaban para un Certificado de Validación Extendida.

En 2006, investigadores de la Universidad de Stanford y Microsoft Research llevaron a cabo un estudio de usabilidad ^{[ 23 ]} de la pantalla EV en Internet Explorer 7. Su artículo concluyó que "los participantes que no recibieron capacitación en las funciones de seguridad del navegador no notaron el indicador de validación extendida y no superaron al grupo de control", mientras que "los participantes a quienes se les pidió que leyeran el archivo de ayuda de Internet Explorer fueron más propensos a clasificar tanto los sitios reales como los falsos como legítimos".

Si bien los defensores de los certificados EV afirman que ayudan a combatir los ataques de phishing, ^{[ 24 ]} el experto en seguridad Peter Gutmann afirma que esta nueva clase de certificados restablece las ganancias de las CA, que se vieron mermadas debido a la competencia a la baja que se produjo entre los emisores del sector. Según Peter Gutmann, los certificados EV no son efectivos contra el phishing porque "no solucionan ningún problema que los ciberdelincuentes estén explotando". Sugiere que las grandes CA comerciales introdujeron los certificados EV para recuperar los precios elevados anteriores. ^{[ 25 ]}