Mozilla 應重新考慮移除擴展驗證介面標示的決定

除開頭段落有所調整外，以下文章內容為我在討論帖中發布的原文。

背景介紹：不久前，幾乎所有釣魚和惡意軟件網站都託管在未加密的 http 站點上。這類站點在瀏覽器中顯示中性介面標示，攻擊者無需花費時間和成本申請證書——哪怕是可能留下身份痕跡的DV 證書。用戶曾被提示（且記住了這一建議）：為獲得更高安全性，請「尋找鎖形標示」。

隨後短時間內接連發生了幾件事：（1）Google 透過顯示「不安全」警告，推動所有網站啟用加密；（2）Mozilla 推出了類似的「不安全」警告；（3）Let’s Encrypt 開始向所有人（包括已知的釣魚網站）提供匿名、自動化的 DV 證書，這一服務部分得到了 Mozilla 和 Google 的鉑金級資金支持。

結果正如預期，如今幾乎所有釣魚網站都遷移到了採用 DV 加密的站點，在 Firefox 中會顯示鎖形標示。事實上，美國聯邦調查局（FBI）剛向消費者發布警告，提醒不要再信任瀏覽器中的 https 或鎖形標示，因此半數及以上的釣魚網站現在會顯示鎖形標示.

目前尚不清楚 Mozilla 計劃如何加強對 Firefox 用戶的保護。Google Safe Browsing 等瀏覽器釣魚過濾器效果不錯，但並非完美。根據2018年10月發布的最新 NSS Labs 報告，Google Safe Browsing 在「零時刻」對用戶的保護率僅約 79%，2 天後才逐步提升至 95%。但多數釣魚網站到那時本來就已經被關停了。如果瀏覽器釣魚過濾器是 Firefox 為用戶提供的主要防禦手段，就意味著在站點被標記為釣魚網站之前，可能會有數千名用戶遭受損害。顯然，Mozilla 應當尋找其他方式來保護用戶。

這正是EV 證書能夠發揮作用的地方。數據顯示，部署 EV 證書的網站釣魚事件發生率極低。亞琛工業大學（RWTH Aachen University）的新研究在 Usenix 上發布的一項新研究統計了使用不同驗證等級證書的釣魚網站佔比：持有證書的釣魚網站中，EV 證書佔比僅為 0.4%，而在「良性」（非釣魚）網站中 EV 證書佔比為 7%。對比來看，OV 證書在釣魚網站中佔比為 15%，在良性網站中佔比為 35%；再對比 Let’s Encrypt 證書，其在釣魚網站所用證書中佔比達 34%，在良性網站中僅佔 17%。

這項研究驗證了2019年2月針對3494個加密釣魚網站開展的早期研究結果顯示. 本研究中，加密釣魚網站按數碼證書類型的分布如下：

• EV證書：0個釣魚網站（佔比0%）
• OV證書：145個釣魚網站（佔比4.15%）*
• DV證書：3349個釣魚網站（佔比95.85%）

*（這些釣魚OV證書 大多為多SAN證書 由Cloudflare等CDN申請的證書，包含多個網站URL，而OV證書主體並未控制這些網站的內容。此類證書或許應當歸為DV證書，而非OV證書。）

此外，喬治亞理工學院的研究表明，部署EV證書的網站與惡意軟件、已知惡意主體存在關聯的概率極低.

這些研究表明，部署EV證書與企圖侵害網站訪問者的犯罪活動存在極強的負相關性。簡單來說，用戶訪問部署EV證書的網站時安全性更高。那麼，我們該如何利用這一結論？

「用戶不會注意到正向安全標識的缺失」這一論點存在幾處疏漏，因而站不住腳。

1. 互聯網本身已經具備可向終端用戶明確標識網站安全性的信號。主流終端軟件未能利用這一信號，是軟件本身的缺陷，而非信號本身的問題。

2. 用戶並非同質化的單一群體，行為模式並不統一。最直接的證明是，參與本次討論的絕大多數人事實上都會留意是否存在EV標識，而這類用戶並非少數。在缺乏充足理由移除該標識的前提下，向部分用戶提供這類安全信息，遠好於完全不向任何用戶提供。

3. 用戶行為也會隨場景變化而改變。在一切正常時可能對界面標識視若無睹的訪問者，在出現可疑情況時會變得高度警覺。至少，EV證書的存在能為執法部門追查網絡犯罪行為人提供清晰的依據。

4. 在眾多預期明確的場景中，正向安全標識確實能夠發揮作用。舉一個大家都熟悉的線下案例：安全帶。我認識的大多數人在行駛的汽車中，都會感受到安全帶橫跨大腿和肩部的束縛感，如果沒有繫安全帶就會覺得不自在。這就是一種正向安全標識。我們在它缺失時會察覺到異樣，原因在於它具備一致性、普及性、顯著性，且對我們十分重要。身份安全標識完全沒有理由無法滿足這些標準。遺憾的是，EV安全標識在不同瀏覽器中的展示形式不一致，且隨時間不斷調整呈現方式，整個行業也未能很好地向依賴方科普這類身份信息的含義。如果主流瀏覽器和操作系統廠商將解決這些問題列為優先事項，上述缺陷都是可以彌補的。

Mozilla當前最迫切的需求，是與其他瀏覽器廠商協作，制定筆記本端和移動端統一的UI功能規範，並聯合證書頒發機構（CA）開展面向用戶的通用培訓，幫助用戶依據可獲取的身份信息做出合理的安全決策。統一UI標準已經取得過極為顯著的成效：汽車領域的停車讓行標誌在實現標準化之前，各國、各州的樣式都不統一。如果停車讓行標誌始終樣式各異，且用戶不了解其含義（未接受用戶培訓），可能就會有人提出「用戶不會通過停車讓行標誌做出安全決策（即停車），那不如把所有停車讓行標誌都移除」。但這絕對是錯誤的做法，會讓用戶的安全更無保障。

如果不推進這類工作，Mozilla或許不應完全移除EV UI，而是考慮其他信息展示方案，比如蘋果一年前採用的方式：向用戶展示當前訪問網站的URL，對已驗證身份的網站（由EV證書保護）將URL和鎖形標識顯示為綠色，其他所有網站（包括所有DV證書網站）則顯示為黑色。這樣用戶至少能獲得一個信號，知道當前網站提供額外的身份信息。配合一定程度的用戶培訓，總體而言用戶的安全狀況會好於完全移除所有身份標識的情況。

如果Mozilla移除所有其他身份標識，用戶就只能依賴URL判斷安全性，而且僅在訪問部分而非全部釣魚網站時，才會看到插入式警告。但正如谷歌安全研究人員所言：「人們其實很難理解URL。URL難以閱讀，用戶很難判斷其中哪部分是應當信任的，總體而言，我認為URL並不是傳遞網站身份信息的有效方式。」

我本人就是最初EV規範制定團隊的成員之一。當時我們設想EV會是一套持續迭代、不斷演進的標準，由社區共同推動其完善。每當聽到有人提出EV並非完美方案的反對意見時，我都不禁想到「至善者，善之敵」這句格言。EV本身是優秀的方案，確實十分出色，相關統計數據也證明了這一點。我們應當將精力聚焦於讓它變得更加完善，而非將其捨棄，最終落得無有效方案可用的境地。