Extended-Validation-Zertifikat

aus Wikipedia, der freien Enzyklopädie
Zur Navigation springen Zur Suche springen

Extended-Validation-SSL-Zertifikate (EV-SSL; deutsch etwa „Zertifikate mit erweiterter Überprüfung“) sind X.509 SSL-Zertifikate, deren Ausgabe an strengere Vergabekriterien gebunden ist. Dies bezieht sich vor allem auf eine detaillierte Überprüfung des Antragstellers durch die Zertifizierungsstelle. Die Vergabekriterien sind in den „Richtlinien für Extended-Validation-Zertifikate“[1] spezifiziert. Die Richtlinien werden vom CA/Browser Forum herausgegeben, einem freiwilligen Zusammenschluss von Zertifizierungsstellen und Browser-Herstellern.

Genutzt werden die Zertifikate meist, um Webanwendungen per HTTPS zu sichern und den Anwendern vor dem Hintergrund von Phishing-Angriffen eine zusätzliche Sicherheit zu geben, etwa beim Online-Banking.

Motivation[Bearbeiten | Quelltext bearbeiten]

Das vorrangige Ziel der EV-SSL-Zertifikate ist es, Phishing mit verschlüsselten und damit auf den ersten Blick sicheren Websites zu erschweren. Durch die Einführung eines neuen, „erweiterten“ Zertifikats und der grün-hinterlegten Adresszeile des Browsers soll das Vertrauen der Benutzer in die sichere Verbindung zur gewünschten Websites gestärkt werden.

Die Ausgabe von SSL-Zertifikaten ist zwar grundsätzlich an eine Überprüfung des Antragstellers gebunden, der Preisdruck unter den Anbietern hat aber zu einer teilweise laxen Vergabepraxis und zu vereinfachten Zertifikaten geführt, die nicht mehr als den Domain-Namen zertifizieren. Damit können auch Betrüger SSL-Zertifikate zur Steigerung ihrer Glaubwürdigkeit verwenden, ohne ihre Identität preisgeben zu müssen.

Kritiker sehen in dem neuen Standard teils den Versuch der Zertifizierungsstellen, sich dem Preiskampf in der SSL-Zertifikat-Ausgabe durch die Einführung eines neuen Premium-Produktes zu entziehen, das dem Benutzer wenig zusätzliche Sicherheit bringt, und das auch mit anderen Mitteln zu erreichen wäre. Auch könnten kleinere Anbieter geschäftlich benachteiligt werden.[2] In der Version 1.1[3] wurde teils versucht, diese Einwände zu berücksichtigen.

Geschichte[Bearbeiten | Quelltext bearbeiten]

EV-Zertifikate wurden im Jahr 2007 durch das CA/Browser Forum eingeführt.[4] Daraufhin bauten alle großen Browser-Hersteller eine visuelle Unterscheidung zwischen regulären und EV-Zertifikaten in die Adresszeile ein.

Im August 2019 wurde für die Browser Google Chrome 77 und Firefox 70 ein Redesign angekündigt, bei dem die besondere Darstellung der EV-Zertifikate durch die grün-hinterlegte Adresszeile im Browser entfällt.[5][6] Die Chrome-Entwickler begründen diesen Schritt mit einer zu geringen Wirksamkeit der visuellen Indikatoren in der Adresszeile.[7] Informationen zur erweiterten Validierung erhält der Benutzer in diesen Browsern aktuell nur über die jeweilige Detailanzeige zu Zertifikaten bei geschützten Websites.

Vergabekriterien[Bearbeiten | Quelltext bearbeiten]

Um EV-SSL-Zertifikate ausstellen zu dürfen, müssen sich die Zertifizierungsstellen selbst einer Überprüfung unterziehen. Die Vergabe der Zertifikate ist unter anderem an folgende Kriterien gebunden:

  • Feststellung der Identität und der Geschäftsadresse des Antragstellers
  • Sicherstellung, dass der Antragsteller ausschließlicher Eigentümer der Domain ist oder eine exklusive Nutzungsberechtigung hat
  • Sicherstellung, dass die antragstellenden Personen befugt sind und dass rechtlich bindende Dokumente von zeichnungsberechtigten Personen unterschrieben werden

Ein EV-Zertifikat kann ausgestellt werden für:

  • Behörden
  • Kapitalgesellschaften
  • Personengesellschaften
  • Vereine
  • Einzelunternehmer

Weblinks[Bearbeiten | Quelltext bearbeiten]

Einzelnachweise[Bearbeiten | Quelltext bearbeiten]

  1. Guidelines for Extended Validation Certificates 1.0
  2. „Software to Spot ‚Phishers‘ Irks Small Concerns“, Wall Street Journal, 19. Dezember 2006
  3. Version 1.1 der Guidelines for Extended Validation Certificates@1@2Vorlage:Toter Link/www.cabforum.org (Seite nicht mehr abrufbar, Suche in Webarchiveni Info: Der Link wurde automatisch als defekt markiert. Bitte prüfe den Link gemäß Anleitung und entferne dann diesen Hinweis.
  4. https://cabforum.org/wp-content/uploads/EV_Certificate_Guidelines.pdf
  5. https://www.ghacks.net/2019/08/13/mozilla-revamps-firefoxs-https-address-bar-information/
  6. Google, Mozilla: We're changing what you see in Chrome, Firefox address bars. In: ZDNet.
  7. https://chromium.googlesource.com/chromium/src/+/HEAD/docs/security/ev-to-page-info.md