扩展验证证书

扩展验证证书（Extended Validation Certificate，简称“EV证书”）是一种根据一系列特定标准颁发的X.509电子证书。根据要求，在颁发证书之前，证书发行机构(CA)必须要验证申请者的身份。不同机构根据证书标准发行的扩展验证证书并无太大差异，但是有的时候根据一些具体的要求，特定机构发行的证书可以被特定的软件所识别。

《扩展验证证书指南》^[1]被认为是扩展验证证书的发行标准，其制定者是CA/浏览器论坛^[2]——一个由证书发行机构和网络软件开发者组成的非营利机构，此外，一些法律和审计方面的专业人士也参与其中^[3]。

历史

2005年，米勒夫·阿杜勒哈尤格魯（Melih Abdulhayoğlu）召开了首届证书发行机构/浏览器论坛会议以期提升SSL证书的发行标准^[4]。2007年6月12日，该机构正式批准了首个扩展验证证书指南并立即生效，近两年的努力建立了网站身份认证制度的架构。2008年4月，该机构发布了《扩展验证证书指南》1.1版，该版本借鉴了证书发行机构和网络软件开发者在首个指南发行并启用后所积累的一些实际经验。

动机

在SSL连接中使用数字证书的一个重要动机是通过证书发行机构对网站持有者的身份审核并颁发证书从而使连接受到信任。但是迫于商业竞争所带来的压力，一些证书发行机构推出了仅验证域名所有权（而不是域名持有者身份）的证书，在颁发这种证书之前，证书发行机构只进行了很少的认证工作并在在证书中包含的认证信息也很少。

大多数浏览器的界面并不会很明显地标识出只经过简单认证的证书和经过严格认证的证书的区别，任何被验证成功的证书都会使浏览器显示出一个锁形图标。因此，用户很难知道他们所访问的网站是否已经经过了严格认证。结果，一些诈骗网站和钓鱼网站也开始使用SSL证书以骗取受害者的信任。通过建立更严格的签发标准并要求所有成员机构持续地支持，扩展验证证书被寄希望于恢复用户对于网站持有者合法性的信心。

此外，因证书问责制度的缺乏而使公信力缺失的情况也受到关注，这也将使扩展验证证书的价值受损^[5]。

签发标准

只有通过独立的网络信任审核的证书发行机构才能颁发扩展验证证书，全球范围内的证书发行机构都必须遵循同样详细的签发要求以便于：

• 确认网站及其所有者的合法性；
• 确认申请者是对应网站的域名持有人并且可以独立地控制该域名；
• 确认网站持有者的身份并且审查由具有相应权限的政府官员签发的有关其法律义务的文件。

另外，扩展验证证书中不能包含通配符。

用户界面

 

用较旧的浏览器访问一个启用了扩展验证证书的网站时，其地址栏通常会显示一个绿色锁形图标并可以显示出网站持有者的相关信息。

 

较新版本的 Firefox 浏览器已经将 EV 标识从地址栏隐藏，并去除了绿色高亮。

《扩展验证证书》要求一旦证书发行机构通过了独立的审计和其它一些步骤^[6]，证书发行机构必须对扩展验证证书分配独立的被浏览器开发者承认的证书验证人。

历史上浏览器在工作时将匹配SSL证书和证书发行者，如果成功，SSL证书将在用户界面中获得更加明显的显示并且包含如下内容：

• 证书持有者的公司或其他实体的名称；
• 证书发行机构的名称；

此外，当时大多数浏览器还会再在地址栏中显示一种独特的颜色（通常为绿色）以表示已收到一个扩展验证证书。

从 Firefox 70^[7] 以及 Google Chrome 77^[8] 开始，扩展验证证书信息被默认隐藏，需要额外点击才能显示

兼容性

桌面浏览器

大多数扩展验证证书可以被下列浏览器所兼容^[9]：

• Safari 3.2及以上
• Internet Explorer 7及以上
• Microsoft Edge 12及以上
• Firefox 3.0及以上
• Opera 9.5及以上
• Google Chrome 1.0及以上

技术细节

扩展验证证书是标准的X.509数字证书。鉴定扩展验证证书的基本方法是参考证书规则的扩展域。每个证书签发者会在他们签发的证书的域中放入一个独特的对象标识符，每个对象标识符包括了发行者的认证声明。浏览器可能不能识别所有的证书发行机构。

在线证书状态协议

扩展验证证书的签发标准并不要求发行机构立即支持在线证书状态协议的证书吊销检查。但是，及时的由浏览器进行的吊销检查已经驱使大多数的发行机构支持该项检查以提升对在线证书状态协议的支持。签发标准中的第26A章节已经要求所有发行者自2011年1月1日起对所有证书支持该项协议。

争议

对小企业的可用性

自从扩展验证证书被报道成一种可信任网站的标志^[10]，一些小企业主已经开始对其给予大企业过多的好处表示关注^[11]。已经出版的《扩展验证证书指南》1.2版的草稿已经除去了非法人商业实体，这引起了一些媒体的关注^[11][12]。《扩展验证证书指南》1.0版被修订以便包括已注册并被承认的的非法人机构，这极大地扩展了有资格拥有扩展验证证书的机构的数量^[13]。

是否能有效阻止钓鱼网站

2006年，斯坦福大学和微软研究院进行了一项针对在IE7中扩展验证证书的可用性的研究^[14]，该测试得出结论“未经过浏览器安全功能训练的用户并不会注意到界面中的扩展验证证书提示且未能超越对照组”。此外，“读过IE帮助文件的人更可能把真的或假的网站都认为是合法的”。

参见

• 超文本传输安全协议(HTTPS)
• HTTP严格传输安全(HSTS)
• 传输层安全 (TLS)
• 数字证书认证机构 (CA)

参考资料

1. EV SSL Certificate Guidelines - CAB Forum （页面存档备份，存于互联网档案馆） （英文）
2. About the CA/Browser Forum - CAB Forum （页面存档备份，存于互联网档案馆） （英文）
3. Members of the CA / Browser Forum - Over 30 CAs and All Major Browsers （页面存档备份，存于互联网档案馆） （英文）
4. Larry Seltzer. How Can We Improve Code Signing?. eWeek.com. [2012-07-10].  （英文）
5. Hagai Bar-El. The Inevitable Collapse of the Certificate Model. Hagai Bar-El on Security. [2016-09-02]. （原始内容于2020-07-31）.  （英文）
6. Audit Criteria - CAB Forum （页面存档备份，存于互联网档案馆） （英文）
7. 1572936 - Move EV cert UI out of URL Bar. bugzilla.mozilla.org. [2020-02-11]. （原始内容于2020-11-12） （英语）. 
8. Log - 77.0.3865.75 - chromium/src - Git at Google. chromium.googlesource.com. [2020-02-11]. 
9. . [2016-09-02]. （原始内容存档于2016-09-15）. 
10. 腾讯财经. EV证书介绍. [2012-07-11]. （原始内容于2016-09-21）.  （简体中文）
11. Riva Richmond. Software to Spot 'Phishers' Irks Small Concerns. 华尔街日报. [2012-07-11]. （原始内容于2008-04-15）.  （英文）
12. 扩展验证证书指南1.2版 （页面存档备份，存于互联网档案馆） （英文）
13. 扩展验证证书指南1.0版 （页面存档备份，存于互联网档案馆） （英文）
14. Jackson, Collin; Daniel R. Simon, Desney S. Tan, Adam Barth. An Evaluation of Extended Validation and Picture-in-Picture Phishing Attacks (PDF). [2012-07-11]. （原始内容 (PDF)于2021-03-14）.  （英文）