Vlákno názorů k článku Konec EV certifikátů: prohlížeče je přestanou zvýrazňovat od Kamil Zmeškal - Jak se tedy od sebe liší OV a...

Jak se tedy od sebe liší OV a EV? Zobrazují se stejně nebo jinak (v ukázce OV není)? V článku je to trochu smícháno dohromady.

DV a OV se vždy zobrazovaly stejně – prostým zámečkem. Rozdíl byl vidět až po rozkliknutí detailů. EV mělo speciální postavení, kdy se ukazoval název firmy. To teď končí, takže všechny certifikáty ukáží z hlediska uživatele prostě zámeček.

"Proti tomu u OV (Organization Validation) a EV (Extended Validation) probíhá podrobné ověřování žadatele.
...
DV certifikáty se dnes dávají zdarma, OV nepřináší nic zásadního, ale EV má podle komerčních autorit výhodu ve větší důvěryhodnosti takto označených webů"

Pokud tomu tedy rozumím správně, tak OV mají stejnou úroveň validace jako EV (tady mám ale trochu rozpor s tím, že "OV nepřináší nic zásadního") a to, za co se u EV platilo, bylo jen to zobrazení názvu v prohlížečích, protože ověření bylo stejné. Pak ale moc to rušení podpory EV nechápu. Klidně to mohli nechat, pokud si někdo chce platit za to, aby se uživatelům zobrazoval jeho název. Je to jeho věc. Není to podle mě nic proti ničemu. Banky na to peníze mají.

Pokud je ale nějaký problém v té validaci (pokud to má to vyjadřovat ono "nepřináší nic zásadního"), tak naopak měli zrušit i OV.

Asi jsem moc paranoický, ale já za tom spíše vidím snahu oddělat komerční CA ve prospěch LE, kterou Mozilla i Chrome podporují. A za pár let začneme prskat, že LE má monopol a LE pak bude za $ (ani ty firmy, které ji podporují, nejsou charita).

Asi jsem moc paranoický, ale já za tom spíše vidím snahu oddělat komerční CA ve prospěch LE, kterou Mozilla i Chrome podporují. A za pár let začneme prskat, že LE má monopol a LE pak bude za $ (ani ty firmy, které ji podporují, nejsou charita).

Já se k Vašemu pocitu připojuji, taky se mi zdá, že cílem je devalvovat ověření certifikátem až na samotné dno. Důvodů může být mnoho, mimo komerčních aktivit do toho mohou vstupovat širší zájmy USA, které v podnikání velkých korporací (Google, Cisco, ...) mají dost významné slovo.

Pokud tomu tedy rozumím správně, tak OV mají stejnou úroveň validace jako EV
Je to jinak. DV ověřuje jen držení domény (nebo webového serveru v dané doméně, e-mailové schránky apod.), OV ověřuje, že máte právo mluvit za danou organizaci (na základě zaslaných dokumentů), EV ověřuje tu organizaci důkladněji (např. i telefonátem). Tedy OV i EV ověřují to samé (příslušnost k organizaci), ale EV by mělo být důkladnější ověření.

to, za co se u EV platilo, bylo jen to zobrazení názvu v prohlížečích, protože ověření bylo stejné
Ověření bylo jiné, ale reálně se platilo za to zobrazení v prohlížeči, to bylo to jediné, co uživatel mohl rozpoznat.

Klidně to mohli nechat, pokud si někdo chce platit za to, aby se uživatelům zobrazoval jeho název.
Problém je v tom, že EV vydávají certifikační autority, ale o zobrazení v prohlížeči rozhodují autoři prohlížečů. To, co se dnes mění, je zobrazení v prohlížeči. EV certifikáty tedy zatím budou dál existovat – akorát už nebudou dávat žádný smysl, protože jediné reálné rozlišení bylo právě v těch prohlížečích.

Asi jsem moc paranoický, ale já za tom spíše vidím snahu oddělat komerční CA ve prospěch LE, kterou Mozilla i Chrome podporují.
To si nemyslím. Ten argument, že to drtivá většina uživatelů nerozlišuje, mi připadá validní. Akorát si nemyslím, že by to měl být důvod ke zrušení – těch pár lidí, kteří si název v adresním prohlížeči kontrolují, o tuhle možnost přijde, a přínos té změny není žádný.

Osobně bych EV zrušil, ale jméno v prohlížeči by se mělo zobrazovat u OV certifikátů. Proto se přece serverový certifikát vydává, aby někdo důvěryhodný spojil jméno s doménou. DV certifikáty jsou nesmysl, stejnou službu udělá veřejný klíč v DNS a odpadne tím jeden prvek (CA), na který je možné zaútočit.

Problém je, že spousta CA rezignovala na to, aby svou práci dělaly pořádně. DV certifikáty validovaly čím dál méně, až to dospělo do stavu, že to v pohodě zvládne automat a vznikl LE. Validaci pro OV certifikáty také flákaly, tak zavedly EV jako certifikáty, kde validaci provedou fakt správně. Bylo by fajn, kdyby se to dostalo zpět do rozumného stavu, kdy budou certifikační autority vydávat jen OV certifikáty a budou je validovat pořádně.

"DV certifikáty validovaly čím dál méně..."
No a jak víc byste chtěl validovat DV certifikát?
Byly doby, kdy dotazem na whois se o doméně dalo zjistit kde co, včetně telefonu a mailu technického kontaktu, pak by se možná dalo validovat něco dalšího, ale dnes je je to silně ořezané a nemáte proti čemu validovat.

OV se zobrazují stejně, jako DV – pouze zámeček, beze jména. Viz třeba web ČÚZK :-)