مرگ و زندگی گواهی‌های هویت وب؛ چرا EV cert ها شکست خوردند و استاندارد جدید اتحادیه اروپا چه چیزی را تغییر می‌دهد؟

یک دهه پیش، بازدید از برخی وب‌سایت‌ها با یک نشانگر بصری خاص در نوار آدرس مرورگر همراه بود: نام یک شرکت با رنگ سبز و نویدی آرامش‌بخش مبنی بر اینکه یک نهاد حقوقی واقعی پشت این صفحه قرار دارد. امروزه اما این رابط کاربری عملاً ناپدید شده و زیر لایه‌هایی از منوها پنهان شده است. با فرا رسیدن هالووین، بررسی اینکه دقیقاً چه کسی نقش ستاره‌ای گواهی‌های اعتبار توسعه‌یافته (Extended Validation یا EV) را در مرورگرها کشت، داستانی جذاب برای مهندسان نرم‌افزار است. مقصران این ماجرا شامل مرورگرهای بزرگ، خطاهای انسانی، یک پروژه متن‌باز خیرخواهانه و حتی شرکتی در کنتاکی به نام Stripe بودند.

ظهور و سقوط گواهی‌های EV

گواهی‌های امنیتی وب در سطوح مختلفی صادر می‌شوند. گواهی‌های اعتبار دامنه (DV) تنها کنترل روی یک دامنه و رمزگذاری اتصال را اثبات می‌کنند. گواهی‌های اعتبار سازمانی (OV) بررسی‌های بیشتری روی هویت سازمان انجام می‌دادند و در نهایت EVها نیازمند فرآیندهای دقیق حقوقی برای احراز هویت شرکت ثبت‌شده بودند. در سیستم EV، نام شرکت در کنار نوار آدرس مرورگر با رنگ سبز به نمایش درمی‌آمد.

با این حال، این مدل با چند چالش اساسی روبه‌رو شد:

• بی‌توجهی کاربران: تحقیقات نشان داد که کاربران عادی توجهی به این نشانگرهای اعتماد ندارند و حتی بدون نام شرکت هم اطلاعات حساسی به وب‌سایت‌های فیشینگ می‌دادند.
• تداخل نام‌ها (Name Collisions): در سال ۲۰۱۷، یک محقق امنیتی شرکت دیگری به نام Stripe, Inc در کنتاکی ثبت کرد و توانست یک گواهی EV کاملاً معتبر برای آن بگیرد. هرچند این شرکت با Stripe معروف در دلاور متفاوت بود، اما مرورگرها هر دو را با نام یکسان «Stripe, Inc» نشان می‌دادند که باعث سردرگمی شدید کاربران شد.
• انقلاب Let’s Encrypt: با آمدن سرویس رایگان Let’s Encrypt توسط ISRG و خودکارسازی فرآیند صدور گواهی‌های DV، استفاده از HTTPS به طور چشمگیری رشد کرد و بازار گواهی‌های تجاری گران‌قیمت عملاً از رونق افتاد.

مرورگرهایی مانند Chrome و Firefox به تدریج این نشانگرها را از نوار آدرس حذف کردند. در نظرات هکرنیوز نیز کاربران اشاره کردند که EV بیشتر یک ابزار تجاری گران‌قیمت از سوی صادرکنندگان گواهی (CA) برای کسب درآمد بیشتر بود تا یک لایه امنیتی واقعی.

بازگشت هویت وب با QWACها و ایجنت‌های هوش مصنوعی

اتحادیه اروپا هیچ‌گاه ایده احراز هویت وب‌سایت‌ها را رها نکرد. استاندارد جدیدی تحت عنوان QWAC یا Qualified Website Authentication Certificates در حال ظهور است که قرار است از سال ۲۰۲۷ توسط مرورگرها پشتیبانی شود.

برخلاف سیستم قدیمی EV، در مدل جدید با نام 2-QWAC، اطلاعات هویت در یک گواهی مجزا قرار می‌گیرد که به طور رمزنگاری‌شده به گواهی استاندارد TLS سایت متصل است. این یعنی وب‌سایت‌ها می‌توانند از گواهی‌های رایگان مانند Let’s Encrypt برای رمزگذاری استفاده کرده و در کنار آن، اعتبار حقوقی خود را به صورت اختیاری اضافه کنند.

اما چالش اصلی این بود که انسان‌ها به این گواهی‌ها توجه نمی‌کنند. اینجاست که در سال‌های اخیر، نقش ایجنت‌های هوش مصنوعی همه‌چیز را تغییر داده است. انسان‌ها حوصله بررسی جزییات حقوقی شرکت‌ها را ندارند، اما یک ایجنت هوش مصنوعی می‌تواند در هر بازدید، داده‌های متادیتا در گواهی QWAC را به‌صورت برنامه‌نویسی بررسی کند، آن را با فهرست‌های معتبر تطبیق دهد و در صورت بروز تناقض (مانند داستان دو شرکت Stripe) به کاربر هشدار دهد.

چرا این موضوع برای مهندسان نرم‌افزار اهمیت دارد؟

برای توسعه‌دهندگان، این تحولات نشان می‌دهد که امنیت وب تنها به رمزگذاری ترافیک (که با پروتکل‌های TLS و قفل سبز رنگ ساده شده است) محدود نمی‌شود. چالش احراز هویت نهاد پشت وب‌سایت سال‌ها بدون پاسخ مانده بود. ترکیب استانداردهای جدید گواهی‌دهی ساختاریافته و ظهور سیستم‌های خودکار مبتنی بر هوش مصنوعی، رویکرد جدیدی را شکل می‌دهد که در آن اعتبار سازمانی دوباره به چرخه وب بازمی‌گردد؛ این بار نه برای جلب توجه کاربر خسته، بلکه به عنوان یک سیگنال ماشین‌خوان و قابل اتکا برای نرم‌افزارها و ایجنت‌ها.