Różnice między certyfikatami OV i EV – dlaczego warto wybrać EV?

Certyfikaty SSL dzielą się na trzy rodzaje walidacji: DV (Domain Validation), OV (Organization Validation) i EV (Extended Validation). Każdy z nich oferuje różne poziomy weryfikacji i zaufania, co ma znaczenie zarówno dla właścicieli stron internetowych, jak i ich użytkowników.

W internecie znajdziesz sporo ogólnych i niepełnych informacji na temat poziomów bezpieczeństwa zapewnianych przez różne walidacje i wymaganych procedur, aby je uzyskać. Jednak rzadko spotkasz dokładne informacje, jakie korzyści i wpływ mają te certyfikaty na Ciebie jako właściciela strony oraz na Twoich użytkowników.

W tym artykule znajdziesz szczegółowe omówienie właściwości (atrybutów) certyfikatów SSL OV i EV. Zrozumiesz, jak różne poziomy walidacji wpływają na bezpieczeństwo i zaufanie użytkowników do Twojej strony. Poznasz główne różnice między OV i EV. Dowiesz się, jak zwiększyć ochronę przed atakami phishingowymi. I najważniejsze – przekonasz się, czym tak naprawdę wyróżniają się certyfikaty EV i dlaczego warte są swojej ceny. 

Typy walidacji certyfikatów SSL: DV, OV i EV – różnice

Walidacja certyfikatu SSL to proces potwierdzenia, że właściciel domeny lub organizacji jest autentyczny i ma prawo do certyfikatu. Certyfikaty SSL dzielą się na trzy rodzaje walidacji: DV (Domain Validation), OV (Organization Validation) i EV (Extended Validation). Każdy z nich oferuje różne poziomy weryfikacji i zaufania, co ma znaczenie zarówno dla właścicieli stron internetowych, jak i ich użytkowników.

W tym artykule przyjrzymy się dokładniej certyfikatom SSL z walidacją OV i EV i różnicom między nimi.

Certyfikaty DV (Domain Validation)

Pierwszym i najprostszym rodzajem walidacji jest certyfikat DV. Proces weryfikacji polega tylko na sprawdzeniu, czy kontrolujesz daną domenę. Procedura jest szybka i nie wymaga dokumentacji. Certyfikaty DV szyfrują połączenie, ale nie dostarczają informacji o Twojej organizacji (firmie). 

Certyfikaty OV (Organization Validation)

Certyfikaty OV weryfikują zarówno kontrolę nad domeną, jak i istnienie Twojej organizacji. Aby uzyskać certyfikat OV, musisz dostarczyć dokumenty potwierdzające istnienie organizacji, co trwa dłużej niż w przypadku DV. Dzięki certyfikatom OV Twoi użytkownicy zobaczą we właściwościach certyfikatu informacje o organizacji, co zwiększa ich zaufanie do Twojej strony.

Certyfikaty OV zapewniają dodatkową ochronę przed atakami phishingowymi, poprzez możliwość sprawdzenia przez klientów zweryfikowanych danych organizacji we właściwościach certyfikatu. Jednocześnie nie zapewniają one tak szczegółowej weryfikacji i wyświetlania nazwy firmy po kliknięciu kłódki lub ikony tune w przeglądarkach jak certyfikaty EV. Certyfikaty OV są odpowiednie dla większości firmowych stron internetowych.

Źródło: https://www.connectreseller.com/blog/difference-between-dv-and-ov-certificates/ 

Certyfikaty EV (Extended Validation) – różnice między OV

Certyfikaty EV oferują najwyższy poziom zaufania i bezpieczeństwa. Aby uzyskać certyfikat EV, musisz przejść najbardziej rygorystyczny proces weryfikacji, który obejmuje dokładną kontrolę prawnej, fizycznej i operacyjnej egzystencji Twojej organizacji. Certyfikaty EV dostarczają najwięcej informacji o organizacji, w tym dodatkowe pola w szczegółach certyfikatu, które omówimy dokładnie później. To najlepsze rozwiązanie dla dużych firm, e-commerce, banków i innych witryn wymagających najwyższego poziomu zaufania.

Certyfikaty EV zapewniają dodatkową warstwę ochrony dzięki najbardziej rygorystycznej weryfikacji, oferując bardziej szczegółowe informacje zaszyte w certyfikacie o firmie niż w przypadku OV. To znacznie utrudnia oszustom podszywanie się pod autentyczne strony, ponieważ wymagane są bardziej szczegółowe i trudniejsze do sfałszowania informacje. W rezultacie użytkownicy mogą łatwiej zweryfikować wiarygodność strony, co zwiększa ich zaufanie i poczucie bezpieczeństwa podczas korzystania z witryny.

Certyfikaty EV oferują widoczną nazwę organizacji po kliknięciu ikony kłódki lub tune znajdującej się w pasku adresu przeglądarki, która jest łatwo rozpoznawalna przez użytkowników. W przeszłości obejmowało to zielony pasek adresu. Ten wskaźnik zwiększa zaufanie użytkowników do strony, co nie jest oferowane przez certyfikaty OV.

Certyfikaty EV często oferują wyższe kwoty gwarancji w przypadku naruszeń bezpieczeństwa takich jak nieautoryzowany dostęp do danych czy ataki typu man-in-the-middle w porównaniu do certyfikatów OV. Oznacza to, że w razie takich problemów, organizacje mogą liczyć na większe odszkodowanie od wystawcy certyfikatu. Przykładowo dla certyfikatów firmy SECTIGO, wariant OV zapewnia gwarancję 50.000 dolarów, a wariant EV aż 1.750.000 dolarów.

Źródło: 

https://www.ssls.com/knowledgebase/choosing-an-ev-ssl-over-an-ov-ssl

Jak dokładnie sprawdzić poziom walidacji danego certyfikatu SSL? 

Poziomy walidacji certyfikatów SSL (DV, OV, EV) sprawdzisz w kilku prostych krokach, bez względu na przeglądarkę, której używasz. Poniżej prezentujemy etapy, jak to zrobić w dwóch najpopularniejszych przeglądarkach: Chrome i Mozilla Firefox.

Sprawdzanie typu certyfikatu SSL i poziomu walidacji w Chrome: 

1. Otwórz stronę, której certyfikat chcesz sprawdzić i kliknij ikonę ustawień („tune”) po lewej stronie paska adresu URL.

2. Wybierz opcję “Połączenie jest bezpieczne” a następnie „Certyfikat jest ważny”.
3. Otworzy się nowe okno z informacjami o certyfikacie. Typ certyfikatu sprawdzisz w zakładce Ogólne w polu “Wystawiony przez”.
4. Dodatkowo w zakładce „Szczegóły” znajdziesz wszystkie atrybuty (właściwości) certyfikatu SSL w tym pole „Wystawca”, w którym również znajdują się informacje o typie certyfikatu.
5. Typ certyfikatu określisz, przeglądając szczegóły certyfikatu w zakładce „Szczegóły” w polu „Temat”:
   1. Certyfikat OV – znajdziesz tu podstawowe informacje jak „Organizacja”, „Państwo”, „Województwo”, „Miasto”.
   2. Certyfikat EV – wyświetli dodatkowe pola takie jak „Numer seryjny”, „Rodzaj firmy”, „Państwo założenia”, „Województwo”, „Region”. 

Sprawdzanie typu certyfikatu SSL i poziomu walidacji w Mozilla Firefox: 

1. Otwórz stronę, której certyfikat chcesz sprawdzić i kliknij ikonę kłódki po lewej stronie paska adresu URL.

2. Wybierz “Zabezpieczone połączenie”, a następnie “Więcej informacji”.
3. W nowym oknie przejdź do zakładki „Bezpieczeństwo” i kliknij „Wyświetl certyfikat”.
4. Otworzy się nowe okno z informacjami o certyfikacie. Typ certyfikatu sprawdzisz w kolumnie „Nazwa wystawcy„. 
5. Aby określić typ certyfikatu, sprawdź kolumnę „Nazwa podmiotu„:
   1. Certyfikat OV – tutaj zobaczysz podstawowe informacje takie jak „Państwo”, „Województwo”, „Region”, „Organizacja” i „Nazwa pospolita”.
   2. Certyfikat EV – w tym przypadku będziesz widział dodatkowe pola takie jak „Państwo założenia”, „Rodzaj firmy”, „Numer seryjny”.

Różnice w informacjach o organizacji w certyfikatach OV i EV w przeglądarce Chrome

Certyfikaty OV i EV różnią się poziomem szczegółowości informacji o organizacji, którą zabezpieczają. W certyfikacie EV znajdziesz dodatkowe pola, które nie występują w certyfikatach OV, ponieważ certyfikaty EV wymagają przejścia przez bardziej rygorystyczny proces weryfikacji.

Wyjaśnienie wartości pola “Temat” w szczegółach certyfikatu:

W polu „Temat” zarówno dla certyfikatów typu OV jak i EV znajdziesz szczegółowe informacje o organizacji, takie jak:

• CN (Common Name) – nazwa główna, często jest to pełna nazwa domeny, dla której certyfikat został wydany. To pole identyfikuje domenę, która jest chroniona przez certyfikat SSL.
• O (Organization) – nazwa organizacji, dla której certyfikat został wydany. To pole identyfikuje prawnie zarejestrowaną nazwę organizacji właściciela certyfikatu.
• OU (Organizational Unit) – jednostka organizacyjna, w obrębie firmy, która jest odpowiedzialna za certyfikat. To pole może wskazywać na konkretny dział lub sekcję w organizacji, np. dział IT.
• L (Locality) – lokalizacja, czyli miasto, w którym organizacja ma swoją siedzibę. 
• ST (State or Province) – stan lub województwo, w którym organizacja jest zarejestrowana.
• C (Country) – kraj, w którym organizacja jest zarejestrowana.

Wyjaśnienie dodatkowych pól w atrybutach certyfikatu z walidacją EV:

W przypadku certyfikatów z walidacją EV znajdziesz dodatkowe pola:

1. serialNumber – czyli numer rejestracyjny firmy. To dodatkowa informacja, która może pomóc w identyfikacji organizacji, szczególnie w dużych firmach zarządzających wieloma certyfikatami.
2. businessCategory – to kategoria biznesowa organizacji, która może być określona jako „Private Organization”, „Government Entity”, „Business Entity” lub „Non-Commercial Entity”.
3. jurisdictionCountryName – określa kraj, w którym organizacja jest zarejestrowana.
4. jurisdictionStateOrProvinceName – (jeśli występuje) to stan lub prowincja, w której organizacja jest zarejestrowana.
5. jurisdictionLocalityName: (jeśli występuje) – oznacza lokalizację (miasto), w której organizacja jest zarejestrowana.

Uwaga: we właściwościach certyfikatu SSL EV możesz znaleźć dwa różne numery seryjne w różnych miejscach szczegółu certyfikatu:

1. Serial Number – jako pole główne „Serial Number” – to unikalny numer przypisany do certyfikatu przez urząd certyfikacji (CA), który służy do jednoznacznej identyfikacji certyfikatu. Przykład: 04:A8:D6:C4:52:14:A2:10:35:05:F2:39:71:92:9F:E9. 
2. serialNumber – w polu „Temat” jako „serialNumber” (omówione powyżej).

Źródło:

1. DigiCert: „What extensions and details are included in a SSL certificate?” 

Dlaczego szczegółowe informacje o organizacji są obecne w EV, a nie w OV?

Certyfikaty EV są przeznaczone do zapewnienia najwyższego poziomu zaufania i bezpieczeństwa, co jest szczególnie ważne dla stron takich jak banki, e-commerce przetwarzające dane dużej liczby klientów, serwisy kadrowe z danymi pracowników, serwisy z branży medycznej.i inne organizacje wymagające wysokiego poziomu zabezpieczeń. Certyfikaty EV wymagają bardziej szczegółowej weryfikacji niż OV i zawierają więcej informacji, aby zapewnić, że użytkownicy mogą w pełni ufać tożsamości witryny. Obejmuje to sprawdzenie prawnej rejestracji firmy, jej fizycznej lokalizacji oraz autoryzacji do działania w danej jurysdykcji.

Podsumowanie – dlaczego warto wybrać certyfikat EV?

Certyfikaty SSL dzielą się na trzy rodzaje walidacji: DV, OV i EV. Certyfikaty DV są najprostsze, weryfikują jedynie kontrolę nad domeną, ale nie dostarczają informacji o organizacji.

Certyfikaty OV weryfikują zarówno kontrolę nad domeną, jak i istnienie organizacji. Wymagają dostarczenia dokumentów potwierdzających istnienie firmy i weryfikacji przez pracownika wystawcy certyfikatu. Dzięki certyfikatom OV użytkownicy mogą zobaczyć w szczegółach certyfikatu informacje o organizacji, takie jak nazwa, kraj, województwo i miasto, co zwiększa zaufanie do strony.

Certyfikaty EV zapewniają najwyższy poziom zaufania i bezpieczeństwa dzięki najbardziej rygorystycznemu procesowi weryfikacji, obejmującemu dokładną kontrolę prawnej i operacyjnej egzystencji organizacji. Dostarczają najwięcej informacji o organizacji, w tym dodatkowe dane jak numer rejestracyjny firmy, rodzaj firmy, kraj założenia. Dzięki temu certyfikaty EV są trudniejsze do podrobienia, co pomaga użytkownikom rozpoznać autentyczną stronę i zapewnia dodatkową ochronę przed atakami phishingowymi.

Certyfikaty EV oferują widoczną nazwę organizacji w pasku adresu przeglądarki, co znacznie zwiększa zaufanie użytkowników. Często zapewniają wyższe kwoty gwarancji niż OV w przypadku naruszeń bezpieczeństwa, zapewniając większe wsparcie finansowe od wystawcy certyfikatu.

Zapamiętaj: to Ty jako użytkownik jesteś podatny na ataki, gdy błędnie uważasz, że samo szyfrowanie oznacza pełne bezpieczeństwo. Dla własnego bezpieczeństwa powinieneś wiedzieć, że masz możliwość sprawdzania szczegółów certyfikatów SSL i weryfikacji autentyczności stron. Może to uchronić Cię przed przykrymi konsekwencjami.

Zadbaj o najwyższy poziom zabezpieczeń i zaufania swoich użytkowników i zamów certyfikat EV lub OV już teraz.