Des te krankzinniger dat de NL overheid, inclusief DigiD, nog niet verplicht gebruik maakt van EV-certificaten. Daar ben ik het niet met je eens. Positieve security indicaties (controleer dat er een EV certificaat aanwezig is t.o.v. een waarschuwing als dit niet het geval is) blijken na vele jaren altijd al slecht te presteren. Daarnaast is het een grote plakpleister op het echte probleem dat gebruikers niet controleren op welke website ze zitten, wat aan de URL te zien is. In het verleden is eens aangetoond (zie https://stripe.ian.sh/ ) dat zelfs de organisatie naam op een EV niet voldoende is. Ik zie slechts twee goede oplossingen voor het phishing (stelen/kopieren inloggegevens) probleem: 1) Gebruikers dienen altijd de juiste URL / origin te controleren bij het invullen van inloggegevens. Na dit jaren gedaan te hebben kan ik niet anders concluderen dat dit een hopeloze oplossing is. 2) Over stappen op 'verifier impersonation resistant'/AAL3/'niet te kopieren' inlogmiddelen. Vandaag de dag zijn dat ...