Base de connaissances

En 2005, le PDG du groupe Comodo , Melih Abdulkhayoglu, a convoqué la première réunion de l'organisation qui allait devenir le CA / Browser Forum. L'objectif de cette réunion était d'améliorer les normes d'émission des certificats SSL / TLS. Le 12 juin 2007, le CA / Browser Forum a officiellement ratifié la première version du guide de vérification avancée, et le document est entré en vigueur immédiatement. L'approbation officielle a achevé la mise en place d'une infrastructure pour l'identification des sites web de confiance sur l'internet. En avril 2008, le CA / Browser Forum a annoncé la publication d'une nouvelle version du guide (1.1). Cette nouvelle version s'appuie sur l'expérience des autorités de certification et des fabricants de logiciels.

La motivation pour obtenir un certificat

L'une des principales motivations de l'utilisation de certificats numériques avec SSL / TLS est d'accroître la confiance dans les transactions en ligne. Pour ce faire, les opérateurs de sites web doivent être testés pour obtenir un certificat. Toutefois, la pression commerciale a incité certaines autorités de certification à introduire des certificats de niveau inférieur (validation de domaine). Les certificats de validation de domaine existaient avant la validation étendue et, en règle générale, leur obtention ne nécessite qu'une confirmation du contrôle du domaine. En particulier, les certificats de validation de domaine n'affirment pas que cette entité juridique a une quelconque relation avec le domaine, bien qu'il puisse être écrit sur le site qu'il appartient à une entité juridique.

Au début, les interfaces utilisateur de la plupart des navigateurs ne faisaient pas la distinction entre les certificats de validation de domaine et les certificats de validation étendue. Étant donné que toute connexion SSL / TLS réussie entraînait l'apparition d'une icône de cadenas vert dans la plupart des navigateurs, il était peu probable que les utilisateurs sachent si le site à validation étendue était confirmé ou non (depuis janvier 2019, Chrome a supprimé les icônes vertes dans le navigateur). Par conséquent, les escrocs (y compris ceux impliqués dans le phishing) pouvaient utiliser TLS pour accroître la crédibilité de leurs sites web. Les utilisateurs des navigateurs ultérieurs peuvent toujours vérifier l'identité des propriétaires de certificats en examinant les informations relatives au certificat émis qui y sont indiquées (notamment le nom de l'organisation et son adresse).

La conformité des certificats EV aux exigences de base et aux exigences avancées est vérifiée. La vérification manuelle des noms de domaine demandés par le demandeur, la vérification par des sources gouvernementales officielles, la vérification par des sources d'information indépendantes et des appels téléphoniques à l'entreprise sont nécessaires. Si le certificat a été délivré, le numéro de série de l'entreprise enregistrée par l'autorité de certification, ainsi que l'adresse physique, y sont stockés.

Les certificats EV sont conçus pour renforcer la confiance des utilisateurs dans le fait que l'opérateur du site web est une organisation réellement existante. Néanmoins, il est à craindre que le même manque de responsabilité qui a conduit à la perte de confiance du public dans les certificats DV ne conduise à la perte de valeur des certificats EV.

Critères de livraison

Seules les autorités de certification ayant fait l'objet d'un audit qualifié indépendant peuvent délivrer des certificats VE, et tous les centres doivent respecter les exigences en matière de libération, qui sont destinées à :

• Établir l'existence d'une entité juridique et d'un propriétaire de site ;
• Établir qu'une entité légale est bien propriétaire de ce domaine ;
• Confirmation de l'identité du propriétaire du site et de l'autorité des personnes agissant en son nom.

À l'exception des certificats EV pour les domaines .onion, il n'est pas possible d'obtenir un certificat wildcard avec Extended Validation - au lieu de cela, tous les noms de domaine pleinement qualifiés doivent être inclus dans le certificat et vérifiés par une autorité de certification.

Interface utilisateur

Les navigateurs compatibles avec EV affichent la disponibilité du certificat - généralement une combinaison du nom de l'organisation et de l'emplacement de l'organisation. Les navigateurs Microsoft Internet Explorer, Mozilla Firefox, Safari, Opera et Google Chrome prennent en charge EV.

Les règles de vérification étendues exigent que les autorités de certification participantes attribuent un identifiant EV spécifique après que l'autorité de certification a effectué un audit indépendant et que d'autres critères ont été remplis. Les navigateurs se souviennent de cet identifiant et font correspondre l'identifiant EV du certificat avec celui de l'autorité de certification en question : s'ils correspondent, le certificat est reconnu comme valide. Dans de nombreux navigateurs, un certificat EV est signalé par :

• Le nom de l'entreprise ou de l'organisation à laquelle appartient le certificat.
• Une couleur distinctive, généralement verte, affichée dans la barre d'adresse, qui indique que le certificat a été reçu en tant que HTTPS.
• Le symbole du "cadenas" se trouve également dans la barre d'adresse. En cliquant sur le "cadenas", vous pouvez obtenir plus d'informations sur le certificat, y compris le nom de l'autorité de certification qui a émis le certificat EV.