SHA-1证书越来越不安全，因此CloudFlare和Facebook为维持SHA-1支持而采取的措施似乎违反直觉。 但是，两家公司都认为，数百万用户的安全访问受到威胁。
少又少的安全算法
安全哈希算法1 (SHA-1）自1995年以来就一直用于证书签名，并且很早就应该退休。 破解SHA-1可以让黑帽给自己的证书签名伪造的签名，而使用这些欺诈性证书的HTTPS连接对于疏忽的访问者来说似乎完全合法。 众所周知，SHA-1在一段时间内很容易受到资源丰富（由国家资助）的攻击者的危害，但是直到最近，大多数攻击者都无法承受这种代价的计算能力。 一种 2015年XNUMX月进行测试 表示SHA-1现在可以以保时捷Panamera的价格破解，这在许多犯罪组织的预算之内是可以接受的。
SHA-2-春季前进
升级到 SHA-2 证书和退休SHA-1受到Mozilla，Google和Microsoft等行业大力支持的强烈鼓励。 在1年31月2015日之后，没有遵循行业最佳实践的证书颁发机构将颁发SHA-1证书，并且所有主流浏览器都将在1年2017月XNUMX日之前拒绝SHA-XNUMX连接（如果不是） 越早).
从长远来看，使用SHA-2证书将提供更强大，更安全的互联网，但在拥有超过1亿用户的生态系统中，SHA-1退休必然会引起一些麻烦。 使用旧版或旧版客户端软件的大量用户（尤其是发展中国家的用户）将面临一个严峻的选择：使用SHA-XNUMX的HTTPS连接-或完全没有安全性。
SHA-1 –后退
这就是为什么 Facebook 和 CloudFlare的 正在实施其SHA-1后备系统，该系统旨在向使用较早技术检测到的访问者自动提供启用HTTPS的SHA-1签名版本的站点。 按照CloudFlare的数学方法，SHA-2可以确保与全球98.31％的浏览器建立连接-但其余的1.69％仍代表着约37万人，这些人集中在世界上较贫穷和压迫较深的地区，并通过不太先进的技术访问互联网。
两家公司的既定目标是遵守行业最佳实践，而不放弃仅限于SHA-1连接的那部分互联网。 为此，CloudFlare还建议通过添加特定于SHA-1的方式为数字证书创建全新的验证类别。 旧版验证 （LV）类别到现有标准 域，组织和扩展验证 类型。
SSL.com将 无疑 让您知道该提案的进度。
