SHA-1 impatto deprecazione sui certificati personali PKI

Question

SHA-1 impatto deprecazione sui certificati personali PKI

#1 da (1 voti)
#2 da (-2 voti)

3

Comprendo che la maggior parte dei browser commerciali smetteranno di fidarsi dei siti Web con i certificati PKI SHA-1 entro gennaio 2017, quindi è fondamentale che i siti Web si aggiornino a SHA-2 da quel momento. La mia domanda è, è anche fondamentale per gli utenti finali aggiornare i loro certificati personali PKI a SHA-2 entro gennaio 2017 per essere ancora in grado di autenticarsi nei siti Web che richiedono un'autenticazione basata su certificati? Cioè, i browser smetteranno anche di supportare l'invio di certificati SHA-1 ai siti web durante l'autenticazione reciproca?

encryption public-key-infrastructure tls certificates

posta Raged 05.08.2016 - 06:44

fonte

2 risposte

Leggi altre domande sui tag encryption public-key-infrastructure tls certificates

OS X 10.6 e vulnerabilità note non coperte Una connessione VPN tramite un proxy è più sicura?

score 1 · Answer 1

I browser Web accetteranno i certificati di autenticazione client SHA-1. Tuttavia, il server Web potrebbe rifiutare questo certificato se il server di autenticazione (controller di dominio, ad esempio) non supporta SHA-1.

Penso che la maggior parte dei server di autenticazione accetti i certificati client SHA-1 (almeno Active Directory farà), perché non sono soggetti a criteri di ammortamento, ma consiglio vivamente di aggiornare le CA per firmare i certificati con SHA-2 .

score -2 · Answer 2

Per quanto ne so, la creazione di collisioni per gli hash SHA1 per i certificati è teoricamente possibile ma richiede comunque una compressione SHA ~ 2 ^ 61 (secondo questo articolo del 2011). Non so se ci sono ricerche più recenti su questo argomento con risultati diversi. La complessità di 2 ^ 61 significa che solo i giocatori più potenti come NSA, ecc. Possono produrre un certificato che ha lo stesso hash del tuo. Se sei un target di alto valore, dovresti rilasciare un nuovo certificato ma se non lo avessi probabilmente non lo avresti pubblicato su questo sito.