EV SSL نوعی گواهی TLS با اعتبارسنجی گسترده است که علاوه‌بر کنترل دامنه، هویت قانونی سازمان صاحب سایت را طبق الزامات مشخص بررسی می‌کند. هدف اصلی آن شناسایی سازمان کنترل‌کننده سایت و ایجاد ارتباط رمزنگاری‌شده میان کاربر و سایت است. 

EV SSL نوعی پروتکل TLS است که در زمان صدور، هویت سازمان صاحب دامنه را با دقت بیشتری بررسی می‌کند. مرجع صدور گواهی یا CA فقط کنترل دامنه را انجام نمی‌دهد؛ اطلاعات حقوقی و هویتی سازمان هم باید طبق الزامات مشخص بررسی شود. این الزامات را CA/Browser Forum در دستورالعمل‌های EV مشخص می‌کند. در ادامه این بلاگ از پارس هاست بررسی می‌کنیم گواهی EV SSL چیست و دقیقا چه کاری انجام می‌دهد، چه تفاوتی با انواع دیگر SSL دارد و آیا خرید آن برای هر سایتی منطقی است یا نه؟ تا انتهای مطلب همراه ما باشید.

گواهی ssl ev چیست؟

وقتی صحبت از ssl چیست می‌شود، معمولا منظور همان لایه رمزنگاری بین مرورگر و سرور است. اما سوال گواهینامه ssl ev چیست یک قدم جلوتر می‌رود. این نوع گواهی زیرمجموعه‌ای از SSL/TLS است که طبق استانداردهای فوروم CA/Browser صادر می‌شود و پیش از تایید نهایی، هویت حقوقی متقاضی را با یک فرآیند چندمرحله‌ای بررسی می‌کند.

در واقع فرقی که این گواهی با بقیه دارد، در همان بخش «اعتبارسنجی» نهفته است. اعتبارسنجی گسترده یعنی مرجع صدور، قبل از تایید سایت، ثابت می‌کند که کسب‌وکار پشت آن دامنه واقعی است، ثبت شرکت دارد و کسی به نمایندگی از آن درخواست گواهی را ارسال کرده است.

طبق تعریف رسمی DigiCert، شرکت بین‌المللی در حوزه امنیت دیجیتال و گواهی‌های TLS/SSL، درباره ماهیت این گواهی آمده است:

“An Extended Validation (EV) certificate is a type of TLS/SSL certificate that verifies that the certificate holder has undergone the most extensive level of vetting.” «گواهی اعتبارسنجی گسترده نوعی گواهی TLS/SSL است که تایید می‌کند دارنده آن، سخت‌گیرانه‌ترین سطح بررسی هویت را پشت سر گذاشته است.» منبع: DigiCert

نکته: EV قرار نیست یک روش رمزنگاری کاملا متفاوت از سایر گواهی‌های TLS ایجاد کند. تفاوت اصلی EV در سطح اعتبارسنجی هویت است، نه اینکه اتصال HTTPS آن ذاتا رمزنگاری قوی‌تری داشته باشد.

چرا  گواهینامه SSL با اعتبارسنجی گسترده این‌قدر سخت‌گیرانه است؟

فرایند صدور گواهی EV چیزی شبیه استعلام هویت بانکی است. مراحل معمول شامل این موارد است:

• بررسی مدارک ثبت رسمی شرکت یا سازمان
• تایید آدرس فیزیکی و فعالیت واقعی کسب‌وکار
• تماس تلفنی برای احراز هویت درخواست‌دهنده به عنوان نماینده مجاز سازمان
• بررسی سابقه دامنه از نظر فیشینگ یا کلاه‌برداری

طبق گزارش شرکت DigiCert، این فرایند می‌تواند تا شانزده مرحله بررسی جداگانه داشته باشد. به همین خاطر صدور گواهی EV بین یک تا چند روز کاری زمان می‌برد، در حالی که گواهی‌های ساده‌تر گاهی در چند دقیقه صادر می‌شوند.

گواهی EV SSL چطور کار می‌کند؟

فرض کنید یک شرکت برای دامنه خود درخواست گواهی EV SSL می‌دهد. ابتدا مرجع صدور گواهی (CA) اطلاعات سازمان و دامنه را بررسی می‌کند تا هویت شرکت تایید شود. پس از تایید، گواهی صادر می‌شود.

هنگام ورود کاربر به سایت، مرورگر گواهی را بررسی کرده و در صورت معتبر بودن، ارتباط HTTPS را از طریق TLS برقرار می‌کند. اطلاعات هویتی سازمان نیز در جزئیات گواهی قابل مشاهده است.

بنابراین، EV SSL به معنی رمزنگاری قوی‌تر نیست؛ تفاوت اصلی آن در احراز هویت دقیق‌تر سازمان است.

نکته: طبق داده‌های موجود، حدود نود درصد از سایت‌های مالی و بانکی همچنان از گواهی EV استفاده می‌کنند، دقیقا به این دلیل که ریسک فیشینگ در این حوزه بسیار بالاست.

گواهی EV چه فایده‌ای برای کاربر و کسب‌وکار دارد:

• سایت‌های بانکی و پرداخت آنلاین
• فروشگاه‌های بزرگ اینترنتی
• پلتفرم‌های مالی و بیمه‌ای
• سازمان‌هایی که با اطلاعات حساس کاربر سر و کار دارند

تفاوت EV SSL با SSL معمولی چیست؟

سه سطح اصلی گواهی‌های SSL وجود دارد و شناخت انواع SSL کمک می‌کند بفهمید کدام یک برای پروژه شما مناسب‌تر است:

گواهی‌نامه استاندارد یا Domain Validation (DV)

این گواهی یکی از متداول‌ترین و اولین نمونه‌های SSL است که بر اساس آن نام دامینی که صادر شده تایید هویت و اصالت می‌شود. ضمن این که سازمان صادرکننده طی فرایندی مطمئن خواهد شد که نامی که برای آن درخواست گواهی شده است حتما در اختیار همان شخص قرار می‌گیرد. به بیان ساده در واقع این گواهینامه از نظر هزینه و زمان به‌صرفه‌تر است و می‌توانید آن را برای سایت و کسب‌وکار کوچک خود دریافت کنید و در حال حاضر یکی از پراستفاده‌ترین نمونه‌ها است.

گواهی‌نامه سازمانی یا Organization Validation (OV)

این نوع نیز از دیگر پلتفرم‌های گواهی بر پایه SSL می‌باشد که نام شرکت و سازمان را نیز احراز هویت می‌کند. در واقع سطحی بالاتر از گواهی قبلی است و مناسب سازمان‌ها، استارتاپ‌ها، تجارت‌ها و شرکت‌هایی است که می‌خواهند نام حقیقی ثبت کنند.

درصورتی‌که سایت‌هایی مشابه شما در اینترنت تاسیس شده‌اند و نام مشابه شرکت شما دارند می‌توانید به‌راحتی با استفاده از گواهی نام‌برده آن را از دیگر سایت‌ها جدا کنید. در واقع چیزی شبیه به تیک آبی در شبکه‌های اجتماعی به‌حساب می‌آید و وقتی کاربر روی آن کلیک می‌کند اطلاعات کاملی در مورد شرکت و کسب‌وکار و نام رسمی شما می‌بیند و می‌تواند از این طریق نسبت به صحبت اطلاعات اطمینان حاصل کند.

گواهی‌نامه پیشرفته یا Extended Validation (EV)

این سرویس مناسب کسانی است که می‌خواهند کامل‌ترین نوع SSL را خریداری کنند. ضمن این که کاربر وب‌سایت شما می‌تواند هنگام ورود تمامی داده‌ها از جمله نام شرکت، اطلاعات حقیقی و حقوقی و تأیید صحت ردوبدل اطلاعات را به‌خوبی چک کند و همچنین این سرویس قابل‌اطمینان‌ترین است و توسط بانک‌ها، کارخانه‌ها، برندها، شرکت‌ها و برای وب‌سایت شخصی افراد مورداستفاده قرار می‌گیرد.

اگر بین تفاوت SSL رایگان با پولی مردد هستید، باید بدانید گواهی‌های رایگان معمولا فقط در سطح DV صادر می‌شوند و گزینه EV هیچ‌وقت به‌صورت رایگان ارائه نمی‌شود، چون هزینه بررسی هویت انسانی پشت آن قرار دارد.

آیا EV با TLS هم فرق دارد؟

این سوال خیلی پیش می‌آید که تفاوت TLS و SSL چیست. در عمل، TLS نسخه اصلاح‌شده و امن‌تر پروتکل SSL قدیمی است و امروز اکثر گواهی‌هایی که SSL نامیده می‌شوند، در پشت صحنه از پروتکل TLS استفاده می‌کنند. گواهی EV هم از همین پروتکل بهره می‌برد، فقط سطح اعتبارسنجی هویتش بالاتر است، اما پروتکل رمزنگاری‌اش همان است.

https چیست و ارتباطش با گواهی EV چیست؟

هر سایتی که گواهی SSL یا TLS نصب داشته باشد، آدرسش با https شروع می‌شود. برای درک بهتر  https کافی است بدانید این حرف S همان لایه امن است. اما نکته مهم اینجاست که HTTPS تنها نشان‌دهنده برقراری ارتباط رمزنگاری‌شده است و به‌تنهایی هویت یا قابل‌اعتماد بودن صاحب سایت را ضمانت نمی‌کند. گواهی‌های OV و EV اطلاعات سازمان را در Certificate ثبت می‌کنند، اما EV فرایند اعتبارسنجی گسترده‌تر و سخت‌گیرانه‌تری برای احراز هویت سازمان دارد.

چطور گواهی EV بخریم و نصب کنیم؟

برای خرید SSL از نوع EV معمولا باید این مراحل را طی ‌کنید:

• انتخاب مرجع صدور معتبر مثل DigiCert یا Sectigo
• ارسال مدارک ثبت شرکت و اطلاعات تماس
• پاسخ به تماس تایید هویت از سمت مرجع صدور
• دریافت و نصب گواهی روی سرور یا هاست

اگر در مسیر نصب یا تمدید با پیام خطا مواجه شدید، معمولا مربوط به خطای احراز ssl است؛ یعنی مدارک ناقص فرستاده شده یا تماس تایید هویت برقرار نشده است. در این حالت کافی است با پشتیبانی مرجع صدور تماس بگیرید و مدارک را تکمیل کنید.

آیا EV SSL همان SSL با امنیت بیشتر است؟

این یکی از رایج‌ترین برداشت‌های اشتباه درباره EV SSL است. EV باعث می‌شود هویت سازمان با دقت بیشتری بررسی شود، اما HTTPS سایت را به‌تنهایی به‌معنی امن‌بودن کامل آن نمی‌کند.

مثال: اگر یک سایت مخرب از یک Certificate معتبر استفاده کند، باز هم ممکن است محتوای مخرب ارائه دهد. گواهی TLS ضمانت نمی‌کند صاحب سایت قابل‌اعتماد است یا تمام محتوای آن سالم است. EV بیشتر به این سوال پاسخ می‌دهد: «این سایت تحت کنترل کدام سازمان قانونی است؟»

درحالی‌که TLS به‌طور کلی برای ایجاد ارتباط امن و رمزنگاری‌شده میان کاربر و سرور استفاده می‌شود. به نقل از سایت Sectigo که در حوزه امنیت سایبری و راهکارهای امنیتی وب فعالیت می‌کند، اعتبارسنجی EV (Extended Validation) در گواهی‌های SSL/TLS علاوه بر تایید کنترل متقاضی بر نام دامنه وب‌سایت، چند مورد مهم دیگر را نیز بررسی می‌کند.

“In addition to confirming control over the website’s domain name, the EV SSL/TLS validation confirms three key things: The organization legally exists and is active. The organization operates at a real, verified address. The certificate request and agreement were approved by an authorized representative.” «در فرایند اعتبارسنجی EV، سه مورد اصلی بررسی و تایید می‌شوند. سازمان از نظر قانونی وجود دارد و فعال است. سازمان در یک آدرس واقعی و قابل تایید فعالیت می‌کند. درخواست صدور گواهی و توافق‌نامه مربوط به آن توسط نماینده مجاز سازمان تایید شده است.» منبع: Sectigo

آیا مرورگرها EV را با نوار سبز نشان می‌دهند؟

اگر خاطرتان باشد، سال‌ها قبل بعضی مرورگرها برای EV از نوار آدرس سبز یا نمایش برجسته نام سازمان استفاده می‌کردند. این روش امروز دیگر مثل گذشته رایج نیست. مرورگرهای مدرن بسیاری از این نشانه‌های اختصاصی را از نوار آدرس حذف کرده‌اند. برای نمونه، فایرفاکس از نسخه ۷۰ نمایش مستقیم اطلاعات EV در نوار URL را کنار گذاشت و اطلاعات هویتی را در بخش اطلاعات سایت قرار داد.

CA/Browser Forum نیز در FAQ فعلی خود اشاره می‌کند که مرورگرهای مدرن دیگر معمولا EV را با همان نمایش سبز قدیمی در نوار آدرس نشان نمی‌دهند و کاربر برای مشاهده اطلاعات سازمان ممکن است نیاز داشته باشد بخش اطلاعات اتصال را باز کند. پس اگر هنوز جایی دیدید که نوشته «با خرید EV SSL، نوار آدرس سایت سبز می‌شود»، این توضیح با رفتار امروزی مرورگرها همخوانی ندارد.

مزایای EV SSL چیست؟

EV SSL برای همه سایت‌ها ضروری نیست، اما در بعضی پروژه‌ها ارزش تجاری و اعتباری خودش را دارد.

۱. اعتبارسنجی دقیق‌تر هویت سازمان

CA پیش از صدور گواهی اطلاعات سازمان را طبق الزامات EV بررسی می‌کند. این موضوع برای کسب‌وکارهایی که هویت حقوقی آن‌ها بخش مهمی از اعتماد مشتری است، اهمیت بیشتری دارد.

۲. نمایش اطلاعات سازمان در Certificate

اطلاعات سازمان در EV Certificate قرار می‌گیرد. در محیط‌هایی که مرورگر این اطلاعات را نمایش می‌دهد، کاربر می‌تواند جزئیات هویت سازمان را بررسی کند.

۳. مناسب برای برندهای بزرگ

بانک‌ها، شرکت‌های مالی، فروشگاه‌های بزرگ و سازمان‌هایی که با اطلاعات حساس کاربران سروکار دارند، معمولا حساسیت بیشتری روی هویت دیجیتال برند خود دارند. البته انتخاب EV به نوع کسب‌وکار و سیاست امنیتی آن بستگی دارد؛ صرفا بزرگ‌بودن سایت دلیل کافی برای خرید EV نیست.

معایب EV SSL چیست؟

EV یک نقطه‌ضعف مهم هم دارد: فرایند دریافت آن از DV ساده‌تر نیست. CA باید اطلاعات بیشتری را بررسی کند و همین موضوع معمولا فرایند صدور را پیچیده‌تر می‌کند. برای EV باید اطلاعات سازمان و وضعیت قانونی آن با الزامات مشخص مطابقت داشته باشد. از طرف دیگر، مزیت بصری EV نسبت به گذشته کمتر شده است. زمانی نمایش نام شرکت در نوار آدرس یکی از مهم‌ترین دلایل خرید EV بود، اما مرورگرهای مدرن این اطلاعات را کمتر در معرض دید مستقیم کاربر قرار می‌دهند. بنابراین قبل از خرید، باید هزینه و ارزش واقعی آن برای کسب‌وکار را بسنجید.

آیا EV SSL برای فروشگاه اینترنتی لازم است؟

نه، الزاما. یک فروشگاه اینترنتی باید ابتدا مطمئن شود HTTPS، تنظیمات TLS، امنیت سرور، مدیریت دسترسی، به‌روزرسانی نرم‌افزارها و حفاظت از اطلاعات کاربران را درست انجام می‌دهد. بعد از این مرحله، انتخاب نوع Certificate مطرح می‌شود. برای یک فروشگاه کوچک، DV SSL ممکن است کاملا کافی باشد. یک شرکت بزرگ با ساختار حقوقی مشخص و نیاز جدی به اعتبارسنجی سازمانی ممکن است OV یا EV را ترجیح دهد.

نوع Certificate جای امنیت واقعی سایت را نمی‌گیرد. فرض کنید فروشگاهی EV داشته باشد اما پنل مدیریت آن رمز عبور ضعیف داشته باشد یا نرم‌افزار فروشگاه مدت‌ها به‌روزرسانی نشود. در چنین شرایطی EV به‌تنهایی مشکل اصلی را حل نمی‌کند.

چه زمانی خرید EV SSL منطقی است؟

اگر کسب‌وکار شما هویت سازمانی مشخصی دارد و نمایش و اعتبارسنجی این هویت برای مشتریان اهمیت دارد، EV ارزش بررسی دارد. موارد زیر معمولا شرایط مناسب‌تری ایجاد می‌کنند:

• شرکت‌های بزرگ و شناخته‌شده
• سرویس‌های مالی
• برخی پلتفرم‌های سازمانی
• سایت‌هایی که جعل هویت برند برای آن‌ها ریسک جدی ایجاد می‌کند
• سازمان‌هایی که سیاست امنیتی آن‌ها استفاده از EV را توجیه می‌کند

اما برای یک وبلاگ شخصی یا سایت معرفی ساده، پرداخت هزینه بیشتر برای EV معمولا توجیه چندانی ندارد.

آیا EV SSL جلوی فیشینگ را می‌گیرد؟

خیر. EV برای کمک به تشخیص هویت سازمان طراحی شده و در کاهش ریسک برخی سناریوهای جعل هویت نقش دارد، اما جلوی فیشینگ را به‌تنهایی نمی‌گیرد. یک مهاجم همچنان می‌تواند دامنه‌ای شبیه برند اصلی ثبت کند، محتوای جعلی بسازد و حتی برای همان دامنه یک Certificate معتبر دریافت کند.

از همین رو کاربر نباید فقط به قفل HTTPS نگاه کند. نام دامنه، محتوای سایت و رفتار درخواست‌های آن هم اهمیت دارند. خود CA/Browser Forum هم هدف EV را شناسایی موجودیت قانونی کنترل‌کننده سایت و کمک به مقابله با مشکلاتی مانند فیشینگ و جعل هویت آنلاین تعریف می‌کند؛ نه اینکه EV را راه‌حل کامل امنیت سایت بداند.

خطای احراز SSL در EV SSL چیست؟

گاهی هنگام ورود به سایت با خطاهایی مثل Certificate Error، خطای اعتبار گواهی یا هشدار HTTPS روبه‌رو می‌شویم. علت می‌تواند موارد مختلفی باشد، مثلا:

• Certificate منقضی شده باشد.
• نام دامنه با Certificate تطابق نداشته باشد.
• زنجیره Certificate ناقص باشد.
• گواهی از یک CA مورد اعتماد مرورگر صادر نشده باشد.
• تنظیمات TLS روی سرور مشکل داشته باشد.
• ساعت و تاریخ سیستم کاربر اشتباه باشد.

در چنین شرایطی، صرفا خرید یک Certificate جدید همیشه راه‌حل نیست. ابتدا باید علت خطا مشخص شود.

EV SSL بخریم یا نه؟

EV SSL یک گواهی TLS با اعتبارسنجی گسترده هویت سازمان است. CA در فرایند صدور، اطلاعات سازمان را طبق الزامات EV بررسی می‌کند و گواهی اطلاعات هویتی بیشتری درباره صاحب قانونی سایت در اختیار نرم‌افزارهای مورداعتماد قرار می‌دهد. اما EV را نباید با «امن‌ترین SSL ممکن» یا Certificateای که رمزنگاری قوی‌تری دارد یکی بدانیم. تفاوت اصلی در سطح اعتبارسنجی هویت است.

اگر سایت شما یک پروژه شخصی یا کسب‌وکار کوچک است، DV احتمالا نیازتان را برطرف می‌کند. اگر سازمان بزرگی دارید و اعتبارسنجی هویت حقوقی برایتان اهمیت دارد، OV یا EV ارزش بررسی بیشتری دارد. در نهایت، انتخاب SSL باید بر اساس نیاز واقعی سایت انجام شود، نه صرفا عنوان گران‌تر یا تبلیغات فروشنده.

سوالات متداول

۱. گواهی EV SSL چیست؟

گواهی EV نوعی گواهی SSL با بالاترین سطح اعتبارسنجی هویت است که علاوه بر رمزنگاری، هویت حقوقی صاحب سایت را هم تایید می‌کند.

۲. تفاوت EV SSL با SSL رایگان چیست؟

تفاوت اصلی در سطح اعتبارسنجی هویت است. بسیاری از SSLهای رایگان از نوع DV هستند و کنترل دامنه را بررسی می‌کنند، اما EV فرایند اعتبارسنجی گسترده‌تری برای سازمان دارد. از نظر ایجاد ارتباط HTTPS، هر دو برای برقراری ارتباط رمزنگاری‌شده کاربرد دارند.

۳. آیا EV SSL برای سایت فروشگاهی ضروری است؟

خیر. EV SSL برای همه فروشگاه‌ها ضروری نیست. سایت‌هایی که فقط به HTTPS و اعتبارسنجی دامنه نیاز دارند، ممکن است با DV SSL نیاز خود را برطرف کنند. EV بیشتر برای سازمان‌هایی ارزش دارد که اعتبارسنجی هویت حقوقی و نمایش اطلاعات سازمان برایشان اهمیت بیشتری دارد.

۴. آیا گواهی EV رایگان هم وجود دارد؟

خیر، به‌دلیل هزینه بررسی هویت انسانی، گواهی EV همیشه پولی است.

۵. تفاوت اصلی EV با OV در چیست؟

گواهی EV الزامات گسترده‌تر و سخت‌گیرانه‌تری نسبت به OV برای احراز هویت و وضعیت قانونی سازمان دارد و اطلاعات بیشتری از سازمان در Certificate ثبت می‌شود.