EV SSL Sertifikası, bir web sitesinde HTTPS desteğini yapılandırmak için kullanılan bir sertifikadır. EV sertifikasını almak için, sertifikanın verileceği şirketin varlığını bir sertifikasyon merkezi (CA) tarafından doğrulamanız gerekmektedir. Tarayıcılar, şirketin varlığına dair bilgileri genellikle web sitesi alan adının önünde gösterir.

EV sertifikaları, DV ve OV sertifikalarıyla aynı güvenlik yöntemlerini kullanır; ancak, sertifika otoritesinde bir şirketin varlığını doğrulama gerekliliği sayesinde daha yüksek bir koruma seviyesi sağlar. EV sertifikalarının verilme kriterleri, Genişletilmiş Doğrulama Rehberi adı verilen özel bir belgede tanımlanmıştır. Bu belgenin en son sürümü, 1.7.0’dır (Ağustos 1, 2019 itibarıyla). Rehber, sertifikasyon otoriteleri ve internet yazılımı satıcılarının yanı sıra hukuk ve denetim mesleklerinin temsilcilerinden oluşan CA / Browser Forum tarafından geliştirilmiştir.

Tarihçe

2005 yılında, Comodo Grubu CEO’su Melih Abdulkhayoglu, daha sonra CA / Browser Forum haline gelecek olan organizasyonun ilk toplantısını düzenlemiştir. Toplantının amacı, SSL/TLS sertifikalarının verilmesi için standartları geliştirmekti. 12 Haziran 2007’de CA / Browser Forum, Gelişmiş Doğrulama Rehberinin ilk sürümünü resmi olarak onayladı ve belge derhal yürürlüğe girdi. Resmi onay, internet üzerindeki güvenilir web sitelerinin tanımlanması için altyapının sağlanmasını tamamladı. Daha sonra, Nisan 2008’de CA / Browser Forum, rehberin yeni bir sürümünü (1.1) yayınladığını duyurdu; bu yeni sürüm, sertifikasyon otoriteleri ve yazılım üreticilerinin deneyimlerine dayanmaktadır.

Sertifika Alma Motivasyonu

SSL/TLS ile dijital sertifikaların kullanılmasının önemli bir motivasyonu, çevrimiçi işlemlere duyulan güveni artırmaktır. Bu, web sitesi işletmecilerinin bir sertifika almak için test edilmesini gerektirir. Ancak, ticari baskılar bazı sertifikasyon otoritelerinin daha düşük düzeyde sertifikalar (alan doğrulama) sunmasına neden olmuştur. Alan doğrulama sertifikaları, genişletilmiş doğrulamadan önce var olmuş ve genellikle sadece alan kontrolünü doğrulamak için bazı onaylar gerektirmiştir. Özellikle, alan doğrulama sertifikaları, bu yasal varlığın alan adıyla herhangi bir ilişkisi olduğunu iddia etmez; ancak, web sitesinde bu varlığa ait olduğu belirtilmiş olabilir.

Başlangıçta, çoğu tarayıcının kullanıcı arayüzleri, alan doğrulama ve genişletilmiş doğrulama sertifikaları arasında ayrım yapmamıştır. Başarılı bir SSL/TLS bağlantısı, çoğu tarayıcıda yeşil bir kilit simgesi ile sonuçlandığından, kullanıcıların genişletilmiş doğrulama sitesinin onaylanıp onaylanmadığını bilmesi pek olası değildi (Ocak 2019 itibarıyla, Chrome yeşil simgeleri tarayıcıdan kaldırdı). Sonuç olarak, dolandırıcılar (phishing dahil) TLS’yi kullanarak web sitelerinin güvenilirliğini artırabilmişlerdir. Sonraki tarayıcı kullanıcıları, verilen sertifikayla ilgili bilgileri inceleyerek sertifika sahiplerinin kimliğini her zaman doğrulayabilirler (bu bilgiler arasında organizasyon adı ve adresi de yer alır).

EV sertifikaları, temel gerekliliklerin yanı sıra gelişmiş gerekliliklere de uygunluk açısından kontrol edilir. Başvuran tarafından talep edilen alan adlarının manuel doğrulaması, resmi devlet kaynakları tarafından doğrulama, bağımsız bilgi kaynakları tarafından doğrulama ve şirkete telefon görüşmeleri gereklidir. Eğer sertifika verildiyse, sertifikasyon otoritesi tarafından kaydedilen şirketin kayıtlı numarası ve fiziksel adres sertifikada saklanır.

EV sertifikaları, web sitesi işletmecisinin gerçekten var olan bir organizasyon olduğunu kullanıcıların güvenini artırmak için tasarlanmıştır. Bununla birlikte, DV sertifikalarındaki kamu güveninin kaybına neden olan aynı sorumsuzluğun, EV sertifikalarının değerini kaybetmesine yol açacağına dair endişeler hala devam etmektedir.

Teslim Kriterleri

Sadece bağımsız nitelikli bir denetimden geçmiş sertifikasyon otoriteleri EV sertifikaları sunabilir ve tüm merkezlerin, aşağıdaki hedeflere yönelik yayım gerekliliklerine uyması gerekmektedir:

• Yasal bir varlık ve site sahibi varlığını belirlemek;
• Yasal bir varlığın bu alan adına sahip olduğunu doğrulamak;
• Site sahibinin kimliğini ve site sahibinin adına hareket eden kişilerin yetkisini doğrulamak.

.onion alanları için EV sertifikaları dışında, genişletilmiş doğrulama ile wildcard sertifika almak mümkün değildir; bunun yerine, tüm tam nitelikli alan adları sertifikada yer almalı ve bir sertifikasyon otoritesi tarafından doğrulanmalıdır.

Kullanıcı Arayüzü

EV destekli tarayıcılar, genellikle sertifikanın ait olduğu organizasyonun adı ve konumunu gösterir. Microsoft Internet Explorer, Mozilla Firefox, Safari, Opera ve Google Chrome gibi tarayıcılar EV’yi destekler.

Genişletilmiş doğrulama kuralları, katılımcı sertifikasyon otoritelerinin bağımsız bir denetimden sonra belirli bir EV tanımlayıcısı atamasını gerektirir; bu tanımlayıcı, diğer kriterlerin karşılanması durumunda atanır. Tarayıcılar bu tanımlayıcıyı hatırlar ve sertifikadaki EV tanımlayıcısını ilgili sertifikasyon otoritesi ile eşleştirir: eşleşiyorsa, sertifika geçerli olarak tanınır. Birçok tarayıcıda, bir EV sertifikası aşağıdaki şekillerde belirtilir:

• Sertifikaya ait olan şirket veya organizasyonun adı.
• Genellikle adres çubuğunda yeşil bir renk ile gösterilen, sertifikanın HTTPS olarak alındığını belirten bir renk.
• Adres çubuğunda yer alan “kilit” sembolü. “Kilit” simgesine tıklayarak, EV sertifikasını veren sertifikasyon otoritesinin adı da dahil olmak üzere sertifika hakkında daha fazla bilgi edinebilirsiniz.