Fondamentalmente, non puoi supportare entrambi i dispositivi più vecchi e avere la migliore sicurezza degli hash firmati usando l'algoritmo più moderno.
La spinta per eliminare SHA-1 è stata ampia e, con i soliti standard di queste cose, notevolmente veloce. Questa non è una brutta cosa: ci sono problemi ben documentati con i certificati firmati SHA-1, e mentre questi non sono attualmente fattibili per la maggior parte degli attaccanti, la tecnologia sta migliorando continuamente ed è meglio avere SHA-1 completamente deprecato firme prima che la tecnologia raggiunga il punto pericoloso.
C'è pochissimo da fare per gestire la mancanza di supporto per i certificati radice più vecchi. Questi sono progettati per scadere dopo un po ', e sebbene la scadenza sia stata anticipata, il piano doveva sempre cessare di usarli.
Allo stesso modo, non è possibile eseguire il backport di una firma di certificato. Ovviamente è possibile firmare lo stesso certificato con due metodi, sebbene sia possibile utilizzarne uno solo per un determinato server Web (diversamente dai cifrari, SSL non negozia i metodi di firma).
Se si riuscisse a trovare un fornitore disposto a firmare un certificato usando l'algoritmo SHA-1, con il certificato radice precedente, si potrebbe indirizzare gli utenti di feature phone a una versione distinta del sito usando questo, mentre altri utenti riceveranno una versione firmata con l'algoritmo più recente. Per fare ciò, è necessario che la pagina di destinazione sia in esecuzione su HTTP o firmata con il vecchio certificato, quindi reindirizzare da lì. Se lo firmi con il certificato più recente, i dispositivi meno recenti non saranno in grado di accedervi, quindi non arriveranno mai al reindirizzamento.
Questo presenta un rischio per la sicurezza, ma questo potrebbe essere considerato accettabile e rimane difficile trovare una CA disponibile e disponibile.
L'altra opzione sarebbe quella di eseguire un'operazione simile, ma autofirmare il certificato per questi dispositivi. Questo non risolve il problema del certificato di root, ma può consentire una connessione crittografata, se gli utenti possono accettare manualmente il certificato (non so se questo è sempre possibile sui feature phone - è da un po 'che non ci provo). Ciò fornisce la riservatezza senza la fiducia implicita fornita da una CA, ma puoi controllare la firma e altre funzionalità del certificato.