หลังจากกูเกิลประกาศเตรียมลดระดับความเชื่อถือของหน่วยงานออกใบรับรองจากไซแมนเทคทั้งหมด ให้สามารถออกใบรับรองได้ไม่เกินเพียง 9 เดือนและไม่สามารถออกใบรับรองระดับ EV ได้อีกต่อไป คำถามหนึ่งคือใบรับรองที่ออกผิดพลาดทั้งหมดเป็นเท่าใด เพราะกูเกิลอ้างว่ามีใบรับรองผิดพลาดถึง 30,000 ใบ แต่ไซแมนเทคยืนยันว่ามีเพียง 127 ใบเท่านั้น

กูเกิลชี้แจงเพิ่มเติมว่าใบรับรองที่ออกผิดพลาด ออกโดยหน่วยงานภายนอกที่ไซแมคเทคอนุญาตให้ตรวจสอบความเป็นเจ้าของโดเมนก่อนออกใบรับรอง (registration authority - RA) แทนไซแมนเทค แม้ข้อกำหนด CA/Browser Forum จะอนุญาตแต่ก็ระบุว่า root CA ต้องรับผิดชอบผลทั้งหมดหากมีความผิดพลาดกับ RA เหล่านี้

ไซแมนเทคออกมายอมรับว่า RA เหล่านี้ไม่ได้ทำตามกระบวนการตรวจสอบอย่างถูกต้อง ไม่ส่งรายงานการดำเนินการประจำปี บางรายไม่ได้รับการตรวจสอบโดยผู้ตรวจสอบที่ได้รับอนุญาตจาก WebTrust จนมาแก้ไขภายหลัง

กูเกิลระบุว่าเนื่องจากหน่วยงานเหล่านี้ไม่ได้ถูกตรวจสอบอย่างถูกต้อง และหน่วยงานเหล่านี้ออกใบรับรองรวมแล้วกว่า 30,000 ใบ จึงไม่สามารถยืนยันความถูกต้องของใบรับรองเหล่านี้ทั้งหมด

ตอนนี้ไซแมนเทคยกเลิกโครงการ RA ภายนอกไปทั้งหมดแล้ว พร้อมกับระบุว่าใบรับรองทั้งหมดที่ออกผิดพลาดไม่อันตรายต่อผู้ใช้ทั่วไป และจะหาทางให้ลูกค้าสามารถรับมือกับข้อกำหนดใหม่ของกูเกิลทั้งการเปลี่ยนใบรับรองใหม่ และการอัพเดตใบรับรองที่หมดอายุเร็วขึ้น

สำหรับคนทั่วไปที่ไม่ได้ใช้ใบรับรอง EV ความน่ากังวลคือการลดอายุใบรับรองที่อาจจะทำให้ผู้ใช้ทั่วไปเข้าเว็บไม่ได้ กูเกิลชี้แจงเพิ่มเติมเป็นเอกสาร explainer ใน GitHub

อย่างไรก็ดี ประกาศของกูเกิลยังเป็นเพียง "ความตั้งใจ" (intent) เท่านั้น เวอร์ชั่นล่าสุดยังไม่มีผลกระทบใดๆ แม้ว่าจะมีบางธนาคารแถบเขียว EV หายไป แต่น่าจะเป็นบั๊กของ Chrome เอง (ธนาคารเกียรตินาคินที่ใช้ใบรับรองไซแมนเทค ยังคงแสดง green bar ถูกต้อง)

ที่มา - Blink-dev, Symantec