EV証明書を殺したのは誰か——ブラウザが緑の社名表示を葬った真相
Who killed the EV cert? A browser whodunit for Halloween
かつてブラウザのアドレスバーに緑色で表示されたEV証明書の企業名は、Chrome 77やFirefox 70の変更で次々と姿を消した。人間は信頼指標に気づかないという研究、Kentucky州に設立された同名の「Stripe, Inc.」によるなりすまし実証、そして無料のLet's Encryptの普及が重なり、有料の身元確認は意味を失っていく。一方EUは2027年1月からQWAC対応を義務化し、AIエージェントが代わりに証明書を検証する未来を描く。
EVの昔の取引は、気の散った人間に小さなラベルに気づいてより良い判断をせよと求めるものだった。しかしAIエージェントが人間ではなく主要なウェブ閲覧者となる世界では、その方程式は根本から変わる。
- sekinfo
EV証明書についてHNへの質問です：
一部の組織が、単一ドメイン配下のサブドメイン用に大量のEV証明書（10枚以上、時には40枚近く）をリクエストしているのを見かけました。同時に、メインドメイン用にはOVワイルドカード証明書をリクエストしており、これらはEV証明書とカバレッジが重複しています。私の知る限り、これらの組織にはEVを使うことを義務付ける規制上の要件はありません。
これを行うことに何か意味はあるのでしょうか？
ワイルドカードによる重複は、両方がサブドメインをカバーできる有効な証明書として認識される以上、EV証明書の理論上の利点を打ち消してしまうように思えます。さらに、ここ何年もブラウザはEV、OV、DV証明書をユーザー向けの重要な形では区別していないという事実もあります。
こうした組織はしばしば、EV証明書と並行して一部のサブドメインにLet's EncryptのDV証明書も使っているので、当然ながらCAAレコードでEVを発行したCAに発行を制限することはできません。
重複するワイルドカードOVや各種DVと併用してEV証明書を使う、正当な技術的動機を誰か思いつきますか？
- mieko
この10年近く、Cloudflareのトップ2Kサイト（以前はAlexa）のうち何件がEV証明書で応答するかを時々追跡してきました。そしてSSL Labsのスコアも取得して、何か相関があるか見ていました。
興味のある方がいれば：
https://github.com/mieko/greenbar
年間を通じた変化をグラフにすべきなんでしょうけど、これはどちらかというと好奇心からやったハックでした。
- galadran
補足：ブラウザやその他のユーザーエージェントは、TLSで使うためにQWACを信頼することを義務付けられていません。私たちはこのために非常に懸命に戦いました。
ただし、サイトが2-QWACを使うことを選んだ場合、それを表示する義務はあります。その鍵はウェブドメインの認証やウェブトラフィックの暗号化には使われません。
開示：私はこの取り組みでMozillaのリードを務め、2-QWACの設計にも（自ら進んで）携わりました。