消息
2017 年 5 月 10 日3 分钟
加密安全中小型企业
所有链接到公共信任的证书颁发机构的 SHA-1 证书都将被阻止；企业和自签名证书不会受到影响
周二针对 Internet Explorer 和 Microsoft Edge 的更新强制这些浏览器将使用过时的 SHA-1 哈希函数签名的 SSL/TLS 证书标记为不安全。此举是继今年早些时候 Google Chrome 和 Mozilla Firefox 采取类似行动之后的又一举措。
过去几年来，浏览器供应商和证书颁发机构一直在协调努力，逐步淘汰网络上 SHA-1 证书的使用，因为该散列函数不再能提供足够的安全性来防止欺骗。
SHA-1（安全散列算法 1）的历史可以追溯到 1995 年，自 2005 年以来就存在理论攻击漏洞。美国国家标准与技术研究院自 2010 年起禁止美国联邦机构使用 SHA-1，数字证书颁发机构自 2016 年 1 月 1 日起不得颁发 SHA-1 签名的证书，但有一些例外情况 — 例如，针对过时的支付终端。
像 SHA-1 这样的哈希函数用于计算字母数字字符串，作为文件或数据的加密表示。这称为摘要，可以用作数字签名。它应该是唯一的且不可逆的。
今年 2 月，谷歌和荷兰数学研究中心 CWI (Centrum Wiskunde & Informatica) 的研究人员证明第一次实际碰撞攻击与 SHA-1 进行比较，生成两个具有相同 SHA-1 摘要的 PDF 文件。这毫无疑问证明了老化散列函数实际上已被破解，不应将其用于敏感应用程序。
浏览器供应商自 2015 年以来就计划将 SHA-1 证书标记为不安全并予以屏蔽。Google Chrome 和 Mozilla Firefox 采取了分阶段的方法：自 2016 年初起，浏览器屏蔽了 2016 年 1 月 1 日之后颁发的 SHA-1 证书，并从今年 1 月开始屏蔽所有现有的 SHA-1 证书，包括有效期较长的旧证书。
Chrome 版本 56 于 1 月份发布，开始阻止所有链接到公开信任的证书颁发机构的 SHA-1 证书。在版本 57 中，它还开始阻止链接到本地根 CA 的 SHA-1 证书。但是，它提供政策机制组织可以禁用此限制。这是因为企业可能会运行自己的内部证书基础设施，这些基础设施依赖于自生成的 SHA-1 根证书，并且由于旧系统不支持较新的哈希函数（如 SHA-2），因此无法轻松替换它们。
微软在一份声明中表示，周二在 IE 和 Edge 中引入的对 SHA-1 证书的禁令只会影响链接到微软可信根计划中的根证书的证书。安全通告。
企业和自签名 SHA-1 证书目前不会受到影响，但微软的长期计划是逐步淘汰 Windows 中所有用途的 SHA-1，包括用于验证下载文件完整性的功能。
