SSL-Zertifikate erstellen einen sicheren Kommunikationstunnel, indem sie die zwischen einem Client und einem Server oder zwischen zwei Servern gesendeten Daten verschlüsseln, um zu verhindern, dass Cyberkriminelle Daten ändern.

Es gibt drei Standardtypen von SSL-Zertifikaten, die von Zertifizierungsstellen ausgestellt werden: DV , OV und EV. Extended Validation (EV) SSL- Zertifikate bieten die höchste Sicherheit, dass die Domain NICHT einem schlechten Akteur zugeordnet ist. Wenn Benutzer eine grüne Adressleiste oder eine Adressleiste des Unternehmens neben der URL sehen, können sie erkennen, dass sie sich in einer vertrauenswürdigen Domain befinden.

Das Verfahren, mit dem eine Zertifizierungsstelle (CA) ein EV-SSL-Zertifikat ausstellt, ist strenger als bei DV- oder OV-Zertifikaten. Die Zertifizierungsstelle prüft, ob das anfragende Unternehmen eine juristische Person ist, und die Validierung erfordert eine ausreichende Offenlegung von Geschäftsinformationen, um diese Überprüfung durchzuführen. Es gibt einen zusätzlichen menschlichen Eingriff, bei dem die Entität per Telefon kontaktiert wird, um ihre Identität zu überprüfen. Die Verarbeitung kann mehrere Tage dauern, abhängig von der Verfügbarkeit des Antragstellers während der telefonischen Überprüfungsphase.

Vor dem Ausstellen eines EV-SSL-Zertifikats kontaktiert die Zertifizierungsstelle die Organisation telefonisch, um ihre Identität zu überprüfen.

Authentifizierungsprozess für EV-Zertifikate

EV zeigt den Nutzern, dass die Website mit den besten Sicherheitsmaßnahmen ausgestattet ist, um Transaktionen zu schützen und die Einhaltung von Standards und Vorschriften sicherzustellen.

Vor der Ausstellung eines Extended Validation-Zertifikats durchläuft die Zertifizierungsstelle einen siebenstufigen Prozess, der auf den vom CA / Browser Forum festgelegten Richtlinien basiert .

• EV-Registrierung: Überprüft, ob die antragstellende Person tatsächlich ein Mitarbeiter des Unternehmens oder der Organisation ist und er / sie berechtigt ist, diesen Zertifikatskauf fortzusetzen.
• Organisationsauthentifizierung: Überprüft anhand der Registrierungsinformationen der Regierung, ob die antragstellende Organisation eine rechtmäßig registrierte Einheit ist und ob sie am registrierten Standort aktiv ist.
• Betriebliche Existenz: Überprüft, ob die Organisation seit mehr als drei Jahren besteht. Andernfalls müssen zusätzliche Dokumente erforderlich sein (um den Prozess für Cyberkriminelle, die versuchen, Shell-Unternehmen zur Erlangung von EV-Zertifikaten aufzustocken, zu erschweren).
• Physische Adresse: Überprüft, ob die Organisation in ihrem Registrierungsland eine echte physische Adresse hat.
• Telefonüberprüfung: Überprüft, ob das Telefon der Organisation eine funktionierende Telefonnummer ist.
• Domänenauthentifizierung: Überprüft, ob die Organisation der rechtmäßige Eigentümer der registrierenden Domäne ist.
• Letzter Überprüfungsaufruf: CA ruft den Kontakt der antragstellenden Organisation an, um die EV-Anwendung zu überprüfen.

Angesichts der Sorgfalt und der damit verbundenen Offenlegung von Informationen ist es statistisch weitaus wahrscheinlicher, dass Cyberkriminelle DV- oder OV-Zertifikate beantragen, als dass sie sich dem Überprüfungsprozess zum Erwerb eines EV-Zertifikats unterziehen.

Während keine Zertifizierungsstelle die «Absicht» einer Organisation erkennen kann, die ein SSL-Zertifikat anfordert, ist der oben beschriebene Prozess bestrebt, die Legitimität und Authentizität der Domain zum Zeitpunkt der Ausstellung zu überprüfen. EV ist heute einer der besten (sichtbaren) Vertrauensindikatoren.

Weitere Informationen zu EV SSL-Zertifikaten erhalten Sie von info@secorio.com oder Ihrem persönlichen Account Manager bei Secorio.