瀏覽器停止支持SHA-1算法，我國用戶如何應對？
發(fā)布時間：2017-12-14 瀏覽次數(shù)：4112
概述
SHA-1在許多安全協(xié)議中廣泛使用，包括TLS和SSL、PGP、SSH、S/MIME和IPsec。在2005年，密碼學家就證明SHA-1的破解速度比預期提高了2000倍，雖然破解仍然是極其困難和昂貴的，但隨著計算機變得越來越快和越來越廉價，SHA-1算法的安全性也逐年降低，已被密碼學家嚴重質(zhì)疑，希望由安全強度更高的SHA-2替代它。
各瀏覽器的響應
微軟第一個宣布了SHA-1棄用計劃，對于SSL證書和代碼簽名證書，微軟設定了不同的替換時間表：
1、所有Windows受信任的根證書頒發(fā)機構(gòu)(CA)從2016年1月1日起必須停止簽發(fā)新的SHA-1簽名算法SSL證書和代碼簽名證書；
2、對于SSL證書，Windows將于2017年1月1日起停止支持SHA1證書。也就是說：任何在之前簽發(fā)的SHA-1證書必須替換成SHA-2證書；
3、對于代碼簽名證書，Windows將于2016年1月1日停止接受沒有時間戳的SHA-1簽名的代碼和SHA-1證書。也就是說，Windows仍然接受在2016年1月1日之前使用SAH-1簽名的已經(jīng)加上RFC3161時間戳的代碼，直到微軟認為有可能出現(xiàn)SHA-1攻擊時。
Google官方博客宣布，將在Chrome瀏覽器中逐漸降低SHA-1證書的安全指示，逐步停止對使用SHA-1散列算法證書的支持。近日，Chrome 39新版本 PC 端發(fā)布，在部分操作系統(tǒng)下，該版本瀏覽器中已開始出現(xiàn)“該網(wǎng)站使用的安全設置已過期” 提示，在接下來的6個月內(nèi)會變得越來越嚴格。最終，使用了有效期至2016年的SHA-1證書的站點可能會被給予黃色警告。
Mozilla也做了同樣的決定，在其對外公布近期更新計劃中表示：“……現(xiàn)在依然有不少網(wǎng)站使用基于 SHA-1簽名的 SSL 證書，所以我們決定加入微軟和谷歌的陣營，認為應在 2016 年 1 月 1 日前停止發(fā)放 SHA-1 證書，在 2017 年 1 月1 日后不再信任此證書?！?
Opera 表示支持谷歌的計劃。Safari團隊正在觀望并未表態(tài)。
我國有300萬用戶不支持SHA-2算法
雖然微軟已停止XP系統(tǒng)服務支持，但我國仍有2億用戶使用XP系統(tǒng)，其中還有超過300萬Windows XP SP2用戶仍然不支持SHA-2簽名算法，低端手機用戶的數(shù)量更加龐大。景安提供的SSL產(chǎn)品的CA公司作為主辦單位，已經(jīng)在國際CA瀏覽器論壇2014北京秋季工作會議上，代表中國用戶提出建議，希望各國際瀏覽器廠商充分考慮中國國情，提出針對性的應對方案，但考慮到全球互聯(lián)網(wǎng)的整體安全，停止使用SHA-1算法也只是時間問題。
景安的建議
景安建議仍不支持SHA-2簽名算法的Windows用戶在2006年12月31日之前升級到XP SP3 或棄用Windows XP。同時建議SSL證書用戶，檢查您網(wǎng)站部署的SSL證書是否仍在使用SHA-1簽名算法。檢查的方法很簡單，通過瀏覽器地址欄的安全鎖，“點擊安全鎖——查看證書信息——詳細信息——簽名算法”，就可以輕松查看您的網(wǎng)站采用了哪種簽名算法。
仍在使用SHA-1簽名算法的SSL證書用戶，可以關(guān)注各瀏覽器的更新時間表，及時更換SHA-2證書。景安網(wǎng)絡可以為所有SSL證書用戶提供技術(shù)支持和咨詢服務，為您提供合理的SSL證書升級建議。
景安提供的SSL證書在2011年就已經(jīng)支持簽發(fā)SHA-2證書，用戶通過景安網(wǎng)絡下單購買SSL證書時，可以選擇簽發(fā)SHA-1證書還是 SHA-2證書。同時，景安提供的SSL證書會按照國際標準制定的時間表升級PKI系統(tǒng)，支持從中級根證書到用戶證書全鏈SHA-2算法支持。(本文引用沃通)
(本文為原創(chuàng)文章,未經(jīng)允許禁止轉(zhuǎn)載抄襲)
企業(yè)微信