谷歌打算改变今年晚些时候在Chrome浏览器Chrome网站上显示一个警告,基于安全散列算法使用证书,sha - 1。谷歌希望做这个网站迁移到较强的SHA-2算法证书,不容易突破原始计算能力。
证书颁发机构供应商要求谷歌的计划过于激进的时间表,并说这是可能导致大规模混乱随着假日购物季节的开始。
谷歌的Chrome浏览器将改变在11月的时间表,这样用户会发现使用SHA-1-based证书访问网站时,浏览器将给他们一个警告,可能出乎他们的意料,Coclin院长说,在赛门铁克商业拓展部的高级主管。Coclin活跃在两个行业团体,浏览器证书权威论坛和CA安全论坛,这是仔细监控谷歌的计划。
+同样在网络世界足球竞猜app软件新的SSL服务器规则11月1日生效|证书颁发机构安理会支持SSL服务器规则11月1日生效+
令人惊讶的是,一个更新版本的Chrome,当到达一个网站使用sha - 1证书,会给用户一个“安全,但小错误”图标的形式一个锁和一个黄色的三角形。是相同的图标显示当铬检测到不安全的内容在一个页面,但决定负载。
Ryan Sleevi高级软件工程师在谷歌,谷歌在线8月20日公布了这一计划开发人员论坛它导致了一些骚动在过去一个月。CA安全委员会,包括七大证书颁发机构,表达了担忧一份声明此后不久。
“考虑到许多用户可能仍然使用软件缺乏SHA-2支持,主要是Windows XP SP2,仍然和未知影响一个完整的sha - 1迁移,这12个星期时间表是积极的,”该集团表示。“此外,许多设备仍然缺乏SHA-2支持,使必要的可能意外的和昂贵的升级。购物季下跌近,这项政策可能对小型网络商店,特别是关于节日的高峰可以影响之前。安理会敦促“所有网站运营商加速SHA-2部署在可能的情况下。”
谷歌并不是唯一希望看到sha - 1淘汰,sha - 1算法的弱点一直被广泛认可。
业务发展副总裁杰里米·罗利DigiCert,同样在CA安全论坛指导委员会,说:众所周知,大量的计算能力可以打破sha - 1,尽管它目前没有对大多数攻击者认为是实用。它假定一些组织,如间谍机构的计算资源,然而可能可以这样做。打破了sha - 1哈希带来危险可能是另一个取代,影响消息的完整性。
证书颁发机构行业普遍支持时间迁移到SHA-2去年微软宣布,要求弃用代码签名证书的sha - 1 1月1日2017年1月1日2016在SSL证书。证书颁发机构宁愿谷歌坚持微软设定的时间表为网站运营商和用户避免混淆。
“用户容易混淆扔进这个游戏与日期,“罗利说。尽管请求谷歌慢下来的加速时间,“他们无视我们,”他说。
在线论坛,Sleevi谢谢那些”参与这些热烈的讨论,共享数据和经验,“和sha - 1计划他轮廓提到“一个粗略的时间表的变化。”
Sleevi还指出,谷歌计划”监控用户的反馈(手动和自动),反馈供应商的影响,isv,和企业,反馈网站运营商,总体趋势TLS生态系统从CAs与这些日期和注意事项,但这些代表真正的和可实现的目标的努力,差不多一年前就开始了,大约3年前在精神、实用和9年之后,暴露出弱点。”