Stavo rimuginando sulla questione della protezione degli utenti dai siti di phishing che rubano le password quando una domanda interessante che non mi era mai venuta in mente prima mi è venuta in mente:
Diciamo che decido di prendere Chromium, Firefox o un altro browser open source e apportare una leggera modifica alle sue funzionalità: lo altero in modo che solo carichi i siti che hanno un valore < a href="https://security.stackexchange.com/questions/15865/what-are-the-advantages-of-ev-certificate"> Certificati Extended Validation , per verificare che la pagina / il sito sia realmente dall'organizzazione / entità da cui proviene. Questo browser speciale per soli siti EV sarebbe sicuramente not essere destinato all'uso per la maggior parte delle normali "normali" esplorazioni, ma solo per visitare & accedere a siti molto sensibili che si vogliono davvero proteggere dal furto di credenziali basato su phishing / furto d'identità. (Servizi bancari e altri servizi finanziari, email, ecc.)
In secondo luogo, supponiamo che io crei un criterio di utilizzo (per gli utenti di un'organizzazione per cui lavoro, o anche solo per me stesso) che dice che quei siti sensibili possono solo accedere al mio speciale Browser solo EV. Forse persino il mio browser EV-sites-only è quello predefinito che carica tutti i collegamenti che un utente potrebbe fare senza pensarci su e-mail & app di messaggistica, solo per fornire la protezione più completa contro le tattiche di phishing false-login che posso.
Quindi, da un punto di vista pratico *, un utente sarebbe effettivamente al sicuro dal phishing di rappresentazione del sito se avesse visitato solo siti sensibili nel mio browser solo per EV?
Oppure, in un altro modo, se un utente assicura che utilizza solo siti sensibili che dispongono di certificati di convalida estesa è al sicuro da attacchi di phishing che utilizzano siti di impostori per rubare le credenziali dell'utente?
* Nota il mio uso della frase "da un punto di vista pratico". Ovviamente, da un punto di vista teorico un cattivo ragazzo potrebbe essere in grado di ottenere un'autorità di certificazione per rilasciare un certificato EV a lui che potrebbe essere utilizzato per un sito di impostore. Ma è qualcosa che attualmente si verifica in natura?