Кваліфікований сертифікат автентифікації вебсайту (сертифікат QWAC) — згідно з довірчими службами, визначеними в Регламенті Європейського Союзу eIDAS.

У звіті Агентства Європейського Союзу з питань мережевої та інформаційної безпеки за 2016 рік запропоновано шість стратегій і дванадцять рекомендованих дій як ескалований підхід, спрямований на найважливіші аспекти, які вважаються критично важливими для вдосконалення ринку автентифікації вебсайтів у Європі та успішного впровадження кваліфікованих сертифікатів автентифікації вебсайтів як засобу підвищення прозорості в цей ринок.

QWAC у контексті інших стандартів Існують різні типи сертифікатів автентифікації вебсайтів, які відрізняються вмістом, що міститься в Предметі сертифіката: перевірено доменом (DV), перевірено організацією (OV) і (EV). Інша відмінність, яку можна зробити, це кількість доменів, захищених сертифікатом: однодоменний, підстановочний, багатодоменний. Сертифікати з розширеною перевіркою мають особливий набір політик випуску, що вимагає підвищеного рівня перевірки особи підписувача сертифіката відповідно до вимог Форуму CA/Browser Forum, тому вони мають найвищий рівень гарантії ідентичності серед усіх TLS-сертифікатів на ринку.  «Вимоги до сертифікатів EV TLS». CABF. 31 серпня 2013 року. Сертифікат EV можна було відрізнити в браузері за наявністю зеленого адресного рядка, зеленого тексту та наявності юридичної назви компанії в URL-адресі в залежності від того, який браузер використовувався. Дослідження, проведене Google та Каліфорнійським університетом Берклі, показало, що користувачі не змінюють свою поведінку залежно від наявності чи відсутності цих індикаторів. Результати цього дослідження спонукали компанію Google, яка займала значну частку ринку браузерів, припинити диференціацію між різними типами сертифікатів. У 2018 році ЄС звернувся до CABF з проханням про партнерство в оновленні існуючих вимог до електромобілів, щоб включити додаткову інформацію про об'єкт у сертифікат електромобіля. Google, а за ним і інші браузери, вже перебували в процесі відмови від індикації електромобілів і відраджували ЄС від використання сертифікатів електромобілів. Станом на 2019 рік більшість основних браузерів більше не мають чіткої індикації EV сертифікатів. Більшість фінансових установ як в ЄС, так і в США продовжують використовувати EV-сертифікати.

З огляду на небажання браузерів змінювати існуючі вимоги до EV для розміщення нової ідентифікаційної інформації eIDAS, регулятори eIDAS почали запроваджувати нову паралельну структуру безпеки, яка спирається на державну сертифікацію (TSP). Це існуватиме поряд із існуючою системою центрів сертифікації (CA) з кількома зацікавленими сторонами. Паралельна структура безпеки викликає занепокоєння у галузевих зацікавлених сторін, які виявили ризики в підході, здебільшого пов’язані з урядовим управлінням CA, і висловили занепокоєння, що впровадження підірватиме конфіденційність людей в Інтернеті.

Регламент eIDAS У Регламенті eIDAS довірчі послуги визначаються як електронні послуги, які зазвичай надаються TSP, які складаються з електронних підписів, електронних печаток, електронних позначок часу, електронних послуг зареєстрованої доставки та автентифікації вебсайтів.

По суті, Регламент eIDAS забезпечує основу для просування:

Прозорости і підзвітности: чітко визначені мінімальні зобов’язання для TSP і відповідальності. Гарантії надійности послуг разом з вимогами безпеки для TSP. Технологічної нейтральности: уникнення вимог, які можуть бути виконані лише за допомогою певної технології. Правил ринку та визначености стандартизації.

Зміст Сертифікати автентифікації вебсайтів є однією з п’яти довірчих послуг, визначених у Регламенті eIDAS. Стаття 45 встановлює вимоги до постачальників довірчих послуг, які видають сертифікати кваліфікованої автентифікації вебсайтів, що означає, що всі вимоги до кваліфікованих постачальників довірчих послуг (QTSP), описані в попередньому розділі, будуть застосовні. Додаток IV визначає зміст кваліфікованих сертифікатів для автентифікації вебсайту:

Критика Оновлення eIDAS, запропоновані у 2021 році, вимагають від браузерів надання нових форм гарантії автентичности вебсайтів, не вказуючи, як саме. Вони вимагають, щоб веббраузери, як-от Chrome, Safari та Firefox, містили список визначених державою «Довірених постачальників послуг», а також приймали та «відображали у зручній для користувача спосіб» QWAC, які видають ці TSP, незважаючи на різноманітні довіри, юридичні, технічні проблеми та проблеми безпеки. Internet Society та Mozilla кажуть, що вимоги регламенту вимагають порушення інших вимог. Вони також стверджують, що це підірве технічну нейтральність і сумісність, підірватиме конфіденційність кінцевих користувачів і створить небезпечні ризики для безпеки. Натомість вони пропонують продовжувати розбудовувати існуючу структуру CA.

Примітки