Microsoft больше не поддерживает протокол SHA-1

12 Май 2017

С выходом майских обновлений компания Microsoft наконец-то завершила процесс отказа от поддержки сертификатов SSL/TLS с криптографической функцией SHA-1. Именно поэтому те сайты, которые до сих пор не отказались от них, больше не будут открываться в фирменных браузерах Internet Explorer и Microsoft Edge.

Всего же процесс прекращения поддержки SHA-1 разбивался на 3 этапа. С выходом очередных обновлений в мае завершился последний, третий, этап. Ранее от поддержки соответствующих сертификатов отказались еще два известных производителя браузеров: Google и Mozilla.

Криптографическая функция SHA-1 была впервые использована в браузерах в 1995 году. За 22 года она много раз была скомпрометирована. Впервые ее несостоятельность была доказана еще 10 лет назад, тогда же были совершены и первые атаки с ее использованием. Со временем этот алгоритм все чаще стал использоваться хакерами для проведения кибератак. Первой обратила на это внимание компания Google. Еще в начале текущего года специалисты доказали, что хакеры, совершая атаки с применением SHA-1, стали все чаще добиваться успеха. Владельцы сайтов сами сталкивались с этой проблемой и прекрасно понимали, что этот алгоритм будет применяться недолго, поэтому постепенно начали отказываться от него. Но такого мнения придерживались не все, именно поэтому по сей день остается еще довольно много ресурсов, которые продолжают использовать SHA-1, тем самым подвергая своих пользователей серьезной опасности. С целью снижения частоты использования данного алгоритма даже центры сертификации с начала текущего года перестали выдавать соответствующие сертификаты.

На начальных этапах отказа от SHA-1 компания Microsoft всего лишь добавила в свои браузеры уведомление, которое показывается в тот момент, когда пользователь пытается загрузить сайты, использующий сертификаты SHA-1. В уведомлении людям сообщалось о том, что посещение таких ресурсов может быть опасно, так как на этом сайте может осуществляться попытка похищения личных данных. Теперь же с начала этой недели сайты с такими сертификатами вовсе перестали загружаться в Edge и Internet Explorer, однако у пользователей все равно остается возможность на свой страх и риск загрузить нужный ресурс.

Что касается корпоративных и самоподписывающихся сертификатов SHA-1, то их обновления пока еще не коснулись. Но специалисты компании советуют разработчикам этих сайтов все же начать переход на SHA-2.