¿Cómo afectará la desaprobación de SHA1 a las CA internas?

Question

¿Cómo afectará la desaprobación de SHA1 a las CA internas?

#1 de garethTheRed (1 votos)
#2 de CristianTM (0 votos)
#3 de theCowardlyFrench (-2 votos)

12

Estoy escuchando que los avisos de Depresión SHA1 de MS / CHROME solo se aplican a certificados que son parte de un programa raíz de confianza pública. Esto hace que uno crea que IE tendrá una nueva lógica incorporada que le permita distinguir certificados emitidos por CA's internos en lugar de certificados emitidos por Public CA's y NO marcar los sitios como inseguros que se consideran como SHA1 internos?

Por lo tanto, la forma en que lo veo es inútil dejar las copias heredadas de certificados SHA1 en el confiable almacén raíz como una alternativa si el navegador va a marcar todos los certificados SHA1 como inseguros de todos modos. A menos que simplemente vaya en busca de conectividad para plataformas heredadas que no pueden usar SHA2 y no les importan las advertencias.

¿Pensamientos?

public-key-infrastructure web-browser tls certificates sha

pregunta user53029 20.09.2014 - 13:54

fuente

3 respuestas

Lea otras preguntas en las etiquetas public-key-infrastructure web-browser tls certificates sha

¿Código relacionado con la seguridad en proyectos de código abierto? ¿NoScript es malo? [cerrado]

score 1 · Answer 1

Microsoft ha tenido la lógica en su lugar durante algún tiempo.

De forma predeterminada, no se confiará en ningún certificado que sea subordinado de un ancla de confianza del Programa Microsoft Trusted Root después de la fecha de corte si el subordinado tiene una firma SHA1. Cualquier certificado SHA1 que sea subordinado de un ancla de confianza instalada localmente seguirá siendo de confianza. Este es el caso de todas las aplicaciones que utilizan el CAPI incorporado de Microsoft para el procesamiento de sus certificados, que incluye Internet Explorer y versiones posteriores de Chrome.

Mozilla decidió hacer lo suyo con el navegador Firefox (ya que no usa CAPI) y dejó de confiar en los certificados SHA1, independientemente de si el ancla de confianza es interna o parte de Mozilla Programa de raíz de confianza.

Recuerde que todos los anclajes de confianza son de confianza porque usted (o los desarrolladores del navegador / sistema operativo) los colocó explícitamente en el almacén del ancla de confianza y no porque estén firmados digitalmente. Por lo tanto, si el certificado de anclaje de confianza tiene una firma SHA512, SHA1 o MD4 no hace ninguna diferencia en absoluto: la firma no se utiliza para implicar ninguna confianza o seguridad en el certificado.

score 0 · Answer 2

No creo que haya una restricción en la validación de la ruta del certificado cuando hablen de esto, sino una restricción en las CA aceptadas en el programa de Raíz de confianza pública. Los que usen CA ya no serán aceptados. Por lo tanto, se eliminarán de los instalados de forma predeterminada en el sistema. Aún podrá agregar cualquier CA que desee en la lista de confianza (incluidas las que se eliminarán del programa raíz público de confianza) y todas serán validadas y de confianza por igual.

Cuando realmente desaprueban SHA1 al evitar la validación de ruta basada en SHA1, probablemente afectará a todas las CA por igual, sean internas o no.

score -2 · Answer 3

Estoy bastante seguro de que SHA-1 será desaprobado por la mayoría de los sistemas operativos para 2017. Especialmente cuando los navegadores toman la iniciativa y marcan los certificados garantizados por SHA-1 para mediados de 2016 y el proyecto Zero de Google está rompiendo el látigo para implementar el cifrado en la web .

El problema aquí no es acerca de la conectividad. Se trata de presionar a los administradores de red / fabricantes de dispositivos / desarrolladores de software para que implementen su cifrado de manera inteligente. Honestamente, incluso si su CA es interna SHA-1 ha demostrado ser frágil.

En mi opinión, ¿por qué implementar el cifrado si lo vas a hacer mal?