瀏覽器停止支持SHA-1算法，我國用戶如何應對？
概述
SHA-1在許多安全協議中廣泛使用，包括TLS和SSL、PGP、SSH、S/MIME和IPsec。在2005年，密碼學家就證明SHA-1的破解速度比預期提高了2000倍，雖然破解仍然是極其困難和昂貴的，但隨著計算機變得越來越快和越來越廉價，SHA-1算法的安全性也逐年降低，已被密碼學家嚴重質疑，希望由安全強度更高的SHA-2替代它。
各瀏覽器的響應
微軟第一個宣布了SHA-1棄用計劃，對于SSL證書和代碼簽名證書，微軟設定了不同的替換時間表：
1、所有Windows受信任的根證書頒發機構(CA)從2016年1月1日起必須停止簽發新的SHA-1簽名算法SSL證書和代碼簽名證書；
2、對于SSL證書，Windows將于2017年1月1日起停止支持SHA1證書。也就是說：任何在之前簽發的SHA-1證書必須替換成SHA-2證書；
3、對于代碼簽名證書，Windows將于2016年1月1日停止接受沒有時間戳的SHA-1簽名的代碼和SHA-1證書。也就是說，Windows仍然接受在2016年1月1日之前使用SAH-1簽名的已經加上RFC3161時間戳的代碼，直到微軟認為有可能出現SHA-1攻擊時。
Google官方博客宣布，將在Chrome瀏覽器中逐漸降低SHA-1證書的安全指示，逐步停止對使用SHA-1散列算法證書的支持。近日，Chrome 39新版本 PC 端發布，在部分操作系統下，該版本瀏覽器中已開始出現“該網站使用的安全設置已過期” 提示，在接下來的6個月內會變得越來越嚴格。最終，使用了有效期至2016年的SHA-1證書的站點可能會被給予黃色警告。
Mozilla也做了同樣的決定，在其對外公布近期更新計劃中表示：“……現在依然有不少網站使用基于 SHA-1簽名的 SSL 證書，所以我們決定加入微軟和谷歌的陣營，認為應在 2016 年 1 月 1 日前停止發放 SHA-1 證書，在 2017 年 1 月1 日后不再信任此證書。”
Opera 表示支持谷歌的計劃。Safari團隊正在觀望并未表態。
我國有300萬用戶不支持SHA-2算法
雖然微軟已停止XP系統服務支持，但我國仍有2億用戶使用XP系統，其中還有超過300萬Windows XP SP2用戶仍然不支持SHA-2簽名算法，低端手機用戶的數量更加龐大。景安提供的SSL產品的CA公司作為主辦單位，已經在國際CA瀏覽器論壇2014北京秋季工作會議上，代表中國用戶提出建議，希望各國際瀏覽器廠商充分考慮中國國情，提出針對性的應對方案，但考慮到全球互聯網的整體安全，停止使用SHA-1算法也只是時間問題。
景安的建議
景安建議仍不支持SHA-2簽名算法的Windows用戶在2006年12月31日之前升級到XP SP3 或棄用Windows XP。同時建議SSL證書用戶，檢查您網站部署的SSL證書是否仍在使用SHA-1簽名算法。檢查的方法很簡單，通過瀏覽器地址欄的安全鎖，“點擊安全鎖——查看證書信息——詳細信息——簽名算法”，就可以輕松查看您的網站采用了哪種簽名算法。
圖片2.jpg
仍在使用SHA-1簽名算法的SSL證書用戶，可以關注各瀏覽器的更新時間表，及時更換SHA-2證書。景安網絡可以為所有SSL證書用戶提供技術支持和咨詢服務，為您提供合理的SSL證書升級建議。
景安提供的SSL證書在2011年就已經支持簽發SHA-2證書，用戶通過景安網絡下單購買SSL證書時，可以選擇簽發SHA-1證書還是 SHA-2證書。同時，景安提供的SSL證書會按照國際標準制定的時間表升級PKI系統，支持從中級根證書到用戶證書全鏈SHA-2算法支持。(本文引用沃通)
來源：景安
