谷歌 chrome 渐渐弱化提示 ssl 证书的标识

[Rezark]

早期版本的 chrome 会对 EV SSL 证书显示高亮的绿色公司名称显示，用户可以很明显的区分但从 chrome48 起谷歌慢慢的弱化了对 EV SSL 证书提示，不再显示高亮的绿色；突出区分有安装和没有安装 ssl 证书的提示“安全”“不安全”，谷歌 chrome 正在引导用户全民普及 ssl 证书，随着 let's encrypted 免费 ssl 证书和国内很多云厂商免费 ssl 证书的大力推广，ssl 证书这块市场已经从蓝海变为红海，可能最后 chrome 不再区分 EV、OV、DV 的区别，到时收费 ssl 证书将会不复存在！

[operafans]

emmm ……上次那个带锁的假 apple 官网 好像中招的全是 chrome 用户

[bilok]

真心对 Google 关于 Chrome 上的证书展示一系列改动表示不解和困惑

[amrnxcdt]

以后只有通过 google 认证的域名和 ssl 证书才会高亮。xd

[ivmm]

“不再区分 EV、OV、DV 的区别是不可能的。”


三个证书的认证网站的要求不一样，EV 要出示的资料可不少呢

[Rezark]

@ivmm 资料是申请企业给 CA 的，访问网站的用户是不清楚的，如果浏览器不给显示了，还有什么区别呢，可以看我之前发的帖子 https://www.v2ex.com/t/358505#reply12

[mokeyjay]

完全不理解谷歌在想什么

[nfroot]

@Rezark 申请个 EV 证书，然后传播病毒，娃哈哈哈！

SSL 证书只是证明传输加密，EV 证书和 OV 证书能确定服务器身份，但是不能防网页木马啊。所以借此去大肆的展示“这个网站很安全，你快看，绿标哦！”

就像文件也可以数字签名，但是不能仅仅凭这个就判断它没有病毒（即便签的是大公司的数字证书）

[honeycomb]

@bilok chrome 的意思是，HTTPS 不再意味着安全，而是仅意味着私密

[wsy2220]

@ivmm 只要钱到位，资料不是问题

[Quaintjade]

本来看一眼 EV 绿条就能判断是不是真银行网站，顶多点一下看看是哪个 CA 发的。没了绿条总不见得每次都点开证书看字段吧。
至于网站被入侵、被挂马，本来就不是 SSL 防范的范畴。但不能因为无法确保绝对安全，就把识别网站身份的作用也去掉，这个是为什么？

[xupefei]

Chrome 现在的做法完全是智障。以前还能点一下绿锁显示证书是谁发的，现在只能开调试窗口看。

[yexm0]

61 版好像不用开调试就能看

[ghostheaven]

@nfroot 大公司签名的文件基本不可能有病毒，除非签名前的版本就被感染了，发现文件感染可比发现网站挂马容易多了。

[czb]

来源是哪里？ 我没有找到 Chrome 的文档说要去除 EV Greenbar

[Perry]

这做法没看出谷歌做错什么，有些公司名字长长的影响视觉体验

[nfroot]

@ghostheaven CA 都能出问题，何况是文件签名的证书呢，SSL 证书就算盗了还要劫持 DNS 才有用，文件签名证书可是可以直接用的，你也说是基本不可能，而不是根本不可能

[ghostheaven]

@nfroot 文件签名证书也需需要 CA 验证吧，另外 CA 被黑了或者泄露了，操作系统第一时间就吊销了，这个时间窗口应该很小。

除非你赶上这样几种情况，在吊销 CA 证书之前的时间窗口你下载到了泄露的 key 签名的文件，或者是没有及时更新系统吊销的证书列表。

[lslqtz]

我觉得所谓的 OVSSL 其实也像是搞笑。
毕竟又验证企业身份又费钱又没有绿标
感觉还是 DVSSL/EVSSL 通行