擴展驗證 SSL 如何直接為線上業務帶來收益——以及這一點為何重要

我們此前曾撰文介紹，擴展驗證（EV）SSL 是線上業務對抗釣魚攻擊的重要且有效組成部分。不過，只有網站實際部署這類證書，它們才能發揮作用。

因此有必要探討網站部署 EV SSL 證書 的原因。眾所周知，這類證書在預算和部署時間上的成本都高於 域名驗證（DV）證書，因此除非 IT 團隊有充分的理由選擇 EV，否則他們通常會選擇更節省成本和時間的方案。儘管 EV 的成本和部署不便與安全體系中的其他環節相比微不足道，但人們本質上還是會優先考慮效率和預算。所以在沒有特殊理由的情況下，他們會選擇最便宜、最簡便的解決方案。

EV SSL 的優勢

在討論優勢時，有一點至關重要：身份驗證的服務對象並非被驗證的主體。請再讀一遍並仔細思考：身份驗證不是為被驗證的主體服務的。

它的服務對象是其他所有相關方。我們可以用駕照、護照這類個人身份證件舉例。當你前往機場時，一定會隨身攜帶某種官方身份證件。這不是因為你對自己的身份存疑，而是因為機場的 TSA 和海關工作人員會要求你出示。你的護照不是給你自己看的，是給工作人員看的。

那麼你出行時為什麼要帶護照？因為不帶的話就無法登機。換句話說，這個體系本身內置了驅動個人完成身份驗證的機制：如果想搭乘航班，就必須接受身份驗證。我們的動機不是為了確認自己的身份——我們都清楚自己是誰，真正的動機是獲得登機許可。

網站和線上服務的身份驗證也是同理。IT 專業人員不會花費時間和精力向自己證明自己的真實性，因為他們本就清楚這一點。要讓他們投入資源做身份驗證，必須有相應的驅動因素。我們來梳理幾種可能的驅動因素。

EV 安全性更高

其中一個潛在驅動因素很簡單，就是提供更安全的存取體驗。EV SSL 能為網站訪問者提供更多資訊，幫助他們區分真實網站和仿冒網站，從而降低社會工程學攻擊的成功率。在理想狀態下，這一點就足以成為所有人部署 EV SSL 的全部理由。

確實有非常多的企業正是出於這個原因使用 EV。有時只是因為他們認為保護網站訪問者是良好的客戶服務，這本身就是足夠的理由；有時是因為他們自身也可能成為魚叉式釣魚攻擊的受害者——這類攻擊會針對他們的員工、廠商、供應商或其他生態合作夥伴；還有時是因為他們希望盡可能降低帳戶盜用或其他攻擊引發的服務問題所帶來的成本。

從支付、銀行、信用卡到證券交易的各類線上金融服務機構，在部署 EV SSL 方面做得相當到位。這是因為如果客戶遭遇這類攻擊，他們可能需要承擔賠償客戶損失的責任。因此，這類線上金融服務機構有直接的損益層面的動力，去盡可能減少這類問題的發生。

遺憾的是，現實世界並非理想狀態。許多線上企業似乎還沒有意識到保護客戶免受不法分子侵害對自身的價值。零售商、社交媒體網站以及其他很多線上業務，並不會因客戶遭受釣魚攻擊而受到直接的嚴重影響。被盜的信用卡資訊可能被用於各種用途，卻幾乎不會追溯到最初導致資訊泄露的零售商。雖然客戶會因信用卡資訊被盜遇到麻煩，但幾乎不會將責任歸咎於該零售商。

其他很多網站也是類似情況：這些平台上的主要釣魚行為是竊取登入憑證，但盜用者的目的不是接管該平台的帳戶，而是用竊取到的使用者名稱密碼組合嘗試登入其他更有價值的網站（尤其是金融類網站）。如果某個網站安全措施不到位，導致你的憑證被釣魚者竊取，隨後這些資訊被用於登入你的銀行帳戶，這個網站永遠不會為自己的疏忽承擔直接後果。

因此，儘管 EV 本身的安全收益具備驅動力，但許多重點釣魚攻擊目標並沒有從 EV 帶來的安全性提升中獲得直接收益。這就在網絡空間形成了一個巨大的囚徒困境：如果所有網站都部署 EV，所有人都會受益，但很多跳過 EV 部署的個別網站既能節省成本、減少麻煩，又不會承擔實際的損失。因此很多網站選擇不部署 EV，最終讓所有人都承受損失。

因此，要讓 EV 得到廣泛應用，我們需要安全之外的更多驅動因素。

EV 證書有助符合合規要求

對部分網站而言，另一項重要的驅動因素是合規。PCI-DSS、HIPAA/HITECH 等多項主流合規標準要求網站採取措施，防止客戶的信用卡號、個人可識別資訊（PII）、受保護健康資訊（PHI）等敏感資料外洩。相較於 OV 或 DV 證書，EV 證書對這類資料竊取行為的防護能力更強，因此不少安全與治理部門認為，部署 EV 證書是確保符合上述標準審計要求的最穩妥方案。

實際上，由強烈合規需求驅動的企業，與本身高度重視安全的企業重合度非常高。金融類場景同時符合這兩類特徵，因此這個因素不會帶來太多新增網站。這個維度的主要增量來自醫療與醫藥行業：這類機構受嚴格的HIPAA/HITECH合規要求約束，對 EV SSL 證書的採用率高於平均水平。

需要再次說明的是，目前出於身份認證展示需求部署 EV 證書的網站佔比仍遠未達到普及水平，不少網站還需要額外的驅動因素。

EV 證書可提升網站交易量與使用量

商業決策是極度務實的。每個商業網站的存在都承載著明確的最終目標。如果是線上零售商或 SaaS 企業，目標十分清晰，就是銷售或交付商品與服務。但所有商業網站都有其存在目標，否則企業不會投入資金、員工時間與精力去搭建及營運網站。

這些目標包括：

• 商品或服務銷售
• 線上服務交付
• 提升客戶服務水平（例如支援用戶線上查詢話費或信用卡賬單）
• 提升服務效率（例如支援線上自助服務，無需用戶致電呼叫中心與人工坐席溝通）
• 新服務註冊轉化
• 銷售線索獲取
• 廣告位曝光與消費
• 資源或應用下載
• 提升服務、產品或用戶關係的用戶粘性
• 產品與品牌的市場教育
• 在與網站營運方相關的重要議題上影響公眾輿論

我們可以為上述每項目標計算經濟價值。例如，更優質的客戶服務可提升客戶滿意度與淨推薦值（NPS），繼而提升用戶復購率、客戶錢包份額與口碑傳播效果。服務效率提升可在維持相同客戶規模、同等服務水平的前提下降低營運成本。銷售線索獲取效果優化可降低單條線索成本、帶動營收增長。廣告主導型網站的使用量提升可帶動更多廣告位銷售，此類收益不勝枚舉。

對每項目標而言，指標表現的提升都能直接為企業帶來收益。而帶有綠色企業名稱的綠色地址欄這個安全標識，預期能夠在各類場景下發揮上述正向作用：用戶信任度的提升會增加網站使用量與用戶進行交易的意願，繼而推動前述所有業務目標的達成。

雖然不同應用場景的投資回報（ROI）計算邏輯存在差異，但由於申請 EV SSL 證書所需的工作量與成本極低，預期投資回報十分可觀。每年僅需數百美元成本，以及多等候一到兩天的證書簽發周期，只要線上業務關鍵績效指標（KPI）出現可量化的正向提升，這筆投入就完全值得。

EV 證書可提升線上品牌形象

與提升網站使用量的邏輯相近但更易被忽略的一點，是網站給訪客留下的印象。透過展示明確的安全標識，企業可以向網站訪客傳遞多項關鍵資訊，包括：

• 該企業在安全領域採用了行業最優方案。
• 該企業重視客戶的資訊安全與權益保障。
• 該企業具備高效的營運能力。
• 與該企業開展合作的體驗順暢、無後顧之憂。

在線上互動過程中傳遞上述資訊，會對品牌的整體認知產生光環效應。考慮到不少企業為打造這類品牌形象投入了巨額成本，EV 證書是支援這類品牌建設工作的一種實施門檻極低、成本效益極高的方式。

上述效益的實現有賴瀏覽器的介面展示規則

上述所有效益的實現，均依賴瀏覽器對應的可視化展示機制。

• 為打擊釣魚行為，EV 證書需要在視覺層面區分真實網站與仿冒網站。
• 為符合合規要求，EV 證書需要具備可識別性，從而發揮打擊釣魚行為的作用。
• 為提升網站交易量與使用率，EV 證書需要以符合更安全體驗慣例的方式向用戶呈現。
• 為建立良好的品牌印象，EV 證書需要能夠向用戶傳遞正面訊號。

瀏覽器廠商可透過明確區分 EV 證書與非 EV 證書的視覺差異、讓用戶輕鬆查閱企業名稱及其他身份資訊，來提升 EV 證書的效用。瀏覽器廠商也可能弱化或隱藏 EV 證書資訊，使其無法發揮上述價值。為提升用戶及整個互聯網的安全性，瀏覽器廠商應選擇前者，協助用戶安全識別所信任網站的線上仿冒站點，避免受騙。