Exten­ded Vali­da­ti­on (EV)

Bei Exten­ded Vali­da­ti­on SSL / TLS Zer­ti­fi­ka­ten han­delt es sich um Sicher­heits­zer­ti­fi­ka­te mit einem erwei­ter­ten und stren­gen Über­prü­fungs­pro­zess bei der Vali­die­rung der Antrag­stel­ler. Die Iden­ti­tät des Antrags­stel­lers muss bei der Bean­tra­gung eines Exten­ded Vali­da­ti­on Zer­ti­fi­ka­tes von den Zer­ti­fi­zie­rungs­stel­len ein­ge­hend über­prüft wer­den, bevor das Zer­ti­fi­kat aus­ge­ge­ben wer­den darf.

Der wich­tigs­te Grund für die grund­sätz­li­che Ein­füh­rung digi­ta­ler Zer­ti­fi­ka­te mit SSL / TLS war die Ver­trau­ens­bil­dung bei Online-Trans­ak­tio­nen und der Daten­über­tra­gung über das Inter­net. Dadurch, dass Web­sei­ten­be­trei­ber eine Über­prü­fung durch eine Zer­ti­fi­zie­rungs­stel­le (Cer­ti­fi­ca­te Aut­ho­ri­ty, CA) benö­tig­ten, um ein Zer­ti­fi­kat zu erhal­ten, wur­de sicher­stellt, dass sich hin­ter einer Web­seite tat­säch­lich das Unter­neh­men befand, für das es sich aus­gab.

Ver­trau­ens­ver­lust in SSL-Zer­ti­fi­ka­te ver­ur­sacht durch die Zer­ti­fi­zie­rungs­stel­len

Der zuneh­men­de Wett­be­werb der aus­ge­ben­den Stel­len unter­ein­an­der hat in der Ver­gan­gen­heit jedoch dazu geführt, dass ver­mehrt nur noch der Name einer Domain mit ein­fa­che­ren und damit preis­wer­te­ren Zer­ti­fi­ka­ten zer­ti­fi­ziert wur­de. Der Nach­teil die­ser Zer­ti­fi­ka­te gegen­über den Exten­ded Vali­da­ti­on Zer­ti­fi­ka­ten ist, dass ledig­lich der Nach­weis erbracht wer­den muss, dass der­je­ni­ge der das Zer­ti­fi­kat nut­zen will, der Inha­ber der Domain ist. Die Iden­ti­tät des Domain­in­ha­bers selbst muss dazu nicht nach­ge­wie­sen wer­den.

Ein grund­sätz­li­ches Pro­blem bei SSL Zer­ti­fi­ka­ten ist, dass die Benut­zer­ober­flä­chen der meis­ten Brow­ser oft nicht zwi­schen Zer­ti­fi­ka­ten mit nied­ri­ger Vali­die­rungs­stu­fe und sol­chen, die einer stren­ge­ren Über­prü­fung unter­zo­gen wur­den, unter­schei­den. Da eine erfolg­rei­che SSL / TLS-Ver­bin­dung gene­rell dazu führt, dass in den meis­ten Brow­sern ein grü­nes Vor­hän­ge­schloss-Sym­bol ange­zeigt wird, kön­nen Nut­zer nicht erken­nen, ob der Eigen­tü­mer der Web­site vali­diert wur­de oder nicht. Daher ver­wen­den Betrü­ger, zum Bei­spiel Phis­hing­web­sites TLS, um ihren Web­sites Glaub­wür­dig­keit zu ver­lei­hen. Benut­zer moder­ner Brow­ser kön­nen die Iden­ti­tät von Zer­ti­fi­kats­in­ha­bern und die Details des aus­ge­stell­ten Zer­ti­fi­kats jedoch prü­fen. Die Infor­ma­tio­nen zum Zer­ti­fi­kats­in­ha­ber, wie der Name der Orga­ni­sa­ti­on und der Stand­ort wer­den bei Exten­ded Vali­da­ti­on Zer­ti­fi­ka­ten immer ange­ge­ben.

Höhe­re Sicher­heit durch höhe­re Anfor­de­rung bei der Vali­die­rung

EV Zer­ti­fi­ka­te wer­den sowohl anhand der Base­li­ne-Anfor­de­run­gen als auch der Exten­ded Vali­da­ti­on-Anfor­de­run­gen vali­diert. Die Exten­ded Vali­da­ti­on stellt zusätz­li­che Anfor­de­run­gen an die Über­prü­fung von Unter­neh­men durch die Zer­ti­fi­zie­rungs­stel­le. Dazu gehö­ren manu­el­le Über­prü­fun­gen aller vom Antrag­stel­ler ange­for­der­ten Domain­na­men, Kon­trol­len durch unab­hän­gi­ge Infor­ma­ti­ons­quel­len und Tele­fon­an­ru­fe beim Antrag­stel­ler, um die Posi­ti­on des Antrag­stel­lers zu bestä­ti­gen. Wenn die Vali­die­rung in Ord­nung ist, wer­den ver­schie­de­ne auf den Antrag­stel­ler bezo­gen Daten wie die phy­si­sche Adres­se im Exten­ded Vali­da­ti­on Zer­ti­fi­kat gespei­chert.

Durch die Ein­füh­rung stren­ge­rer Aus­ga­be­kri­te­ri­en und einer ein­heit­li­chen Anwen­dung die­ser Kri­te­ri­en durch alle betei­lig­ten Zer­ti­fi­zie­rungs­stel­len sol­len Exten­ded Vali­da­ti­on Zer­ti­fi­ka­te das Ver­trau­en der Inter­net­nut­zer wie­der­her­stel­len. Aller­dings besteht erneut die Sor­ge, dass man­geln­des Ver­ant­wor­tungs­be­wusst­sein und Kos­ten­druck bei den Zer­ti­fi­zie­rungs­stel­len, Umstän­de die bereits zum Ver­lust des Ver­trau­ens in domain­va­li­dier­te Zer­ti­fi­ka­te geführt haben, in Zukunft den Wert von Exten­ded Vali­da­ti­on Zer­ti­fi­ka­ten eben­falls unter­gra­ben wer­den.

Exten­ded Vali­da­ti­on (EV)
Bewer­ten Sie die­sen Arti­kel

Schreiben Sie einen Kommentar