EV-SSL

Extended-Validation-SSL-Zertifikate (EV-SSL, engl. etwa „Zertifikate mit erweiterter Überprüfung“) sind X.509 SSL-Zertifikate, deren Ausgabe an strengere Vergabekriterien gebunden ist. Dies bezieht sich vor allem auf eine detaillierte Überprüfung des Antragstellers durch die Zertifizierungsstelle.

Die Vergabekriterien sind in den Guidelines for Extended Validation Certificates spezifiziert. Die Richtlinien werden vom CA/Browser Forum herausgegeben, einem freiwilligen Zusammenschluss von Zertifizierungsstellen und Browser-Herstellern.

Genutzt werden die Zertifikate meist, um Webanwendungen per HTTPS zu sichern und den Anwendern vor dem Hintergrund von Phishing-Angriffen eine zusätzliche Sicherheit zu geben, etwa beim Online-Banking.

Motivation

Das vorrangige Ziel der EV-SSL-Zertifikate ist es, Phishing mit verschlüsselten, und damit auf den ersten Blick sicheren, Webseiten zu erschweren. Durch die Einführung eines neuen, „erweiterten“ Zertifikats, und der grün-hinterlegten Adresszeile des Browsers, soll das Vertrauen der Benutzer in die sichere Verbindung zur gewünschten Webseite gestärkt werden.

Die Ausgabe von SSL-Zertifikaten ist zwar grundsätzlich an eine Überprüfung des Antragstellers gebunden, der Preisdruck unter den Anbietern hat aber zu einer teilweise laxen Vergabepraxis und zu vereinfachten Zertifikaten geführt, die nicht mehr als den Domain-Namen zertifizieren. Damit können auch Betrüger SSL-Zertifikate zur Steigerung ihrer Glaubwürdigkeit verwenden, ohne ihre Identität preisgeben zu müssen.

Kritiker sahen in dem neuen Standard teils den Versuch der Zertifizierungsstellen, sich dem Preiskampf in der SSL-Zertifikat-Ausgabe durch die Einführung eines neuen Premium-Produktes zu entziehen, das dem Benutzer wenig zusätzliche Sicherheit bringt, und das auch mit anderen Mitteln zu erreichen wäre. Auch könnten kleinere Anbieter geschäftlich benachteiligt werden ^[1]. In Version 1.1 wurde teils versucht, diese Einwände zu berücksichtigen.

Benutzerschnittstelle

In der Adresszeile des Browsers wird zusätzlich ein Feld angezeigt, in dem Zertifikats- und Domaininhaber im Wechsel mit der Zertifizierungsstelle (beispielsweise VeriSign) eingeblendet werden. Zudem wird je nach verwendetem Browser die Adresszeile oder ein Teil davon   grün eingefärbt  . Internetnutzer sollen so noch schneller erkennen können, ob die besuchte Webseite echt ist, und sich so besser vor Phishingversuchen schützen.

Browserunterstützung

• Firefox 2: Die erweiterte Anzeigemöglichkeit von EV-SSL-Zertifikaten ist in Firefox 2 nur über die Erweiterung VeriSign EV Green Bar Extension möglich.
• Firefox 3: Die erweiterten Funktionen der EV-SSL-Zertifikate werden von Firefox 3 standardmäßig unterstützt. Der linke Teil der Adressleiste wird grün eingefärbt.
• Internet Explorer 7: EV-SSL-Zertifikate werden standardmäßig unterstützt. Die gesamte Adressleiste wird grün eingefärbt.
• Opera 9.5: EV-SSL-Zertifikate werden standardmäßig unterstützt. Der rechte Teil der Adressleiste wird grün eingefärbt und das Schloss-Symbol hat zusätzlich ein Häkchen.
• Safari 3.2: EV-SSL-Zertifikate werden standardmäßig unterstützt. Der Organisationsname wird in grün neben dem Schloss-Symbol angezeigt.^[2]

Vergabekriterien

Um EV-SSL-Zertifikate ausstellen zu dürfen, müssen sich die Zertifizierungsstellen selbst einer Überprüfung unterziehen. Die Vergabe selbst ist unter anderem an folgende Kriterien gebunden:

• Feststellung der Identität und der Geschäftsadresse des Antragstellers.
• Sicherstellung, dass der Antragsteller auch ausschließlicher Eigentümer der Domain ist oder eine exklusive Nutzungsberechtigung hat.
• Sicherstellung, dass die antragstellenden Personen befugt sind, und dass rechtlich bindende Dokumente von zeichnungsberechtigten Personen unterschrieben werden.

Weblinks

• http://www.cabforum.org/
• heise.de - Erweitertes SSL-Verfahren in den Startlöchern
• Mit EV-SSL-Zertifikaten gegen das Handtaschen-Missverständnis

Quellen

1. ↑ Wall Street Journal: "Software to Spot 'Phishers' Irks Small Concerns", 19.12.2006
2. ↑ fscklog.com: "Safari 3.2 mit Phishing-Shutz", 13.11.2008