不像Mozilla,谷歌預(yù)期sha - 1錯誤引起的HTTPS交通檢測系統(tǒng) 灰鴿子下載,灰鴿子。

admin

不像Mozilla,谷歌預(yù)期sha - 1錯誤引起的HTTPS交通檢測系統(tǒng) 灰鴿子下載,灰鴿子。
谷歌計劃僅禁止SHA-1-signed證書是在1月1日發(fā)布的公共證書頒發(fā)機構(gòu)

本周早些時候,Mozilla被迫放寬禁止新sha - 1數(shù)字證書,因為此舉完全切斷一些Firefox用戶從網(wǎng)絡(luò)加密。看來谷歌看到的問題。
而不是禁止所有數(shù)字證書簽發(fā)sha - 1和1月1日之后,谷歌計劃只有“untrust”那些來自公共證書頒發(fā)機構(gòu)。
這個決定考慮,一些公司可能仍然在他們的網(wǎng)絡(luò)使用內(nèi)部自發(fā)的sha - 1證書,或者一些殺毒軟件和安全設(shè)備將繼續(xù)檢查HTTPS通信時生成這樣的證書。
中間人HTTPS通信攔截隱私擁護者通常是不贊成,因為它打破了用戶和服務(wù)器之間的信任。
因為,如果做不正確,會讓用戶嚴(yán)重的攻擊。然而,它有一些可接受的使用。
例如,一些公司可能會安裝HTTPS交通檢測設(shè)備在網(wǎng)絡(luò)邊界,確保不泄露敏感的企業(yè)數(shù)據(jù)加密流量。
許多殺毒軟件檢查HTTPS使用中間人,直接在計算機上本地交通技術(shù)以檢測是否為惡意軟件通過這種連接。
這樣的應(yīng)用程序和系統(tǒng)對用戶和網(wǎng)站之間的流量通過創(chuàng)建新證書這些連接使用自有ca(認(rèn)證機構(gòu))。根證書的ca在默認(rèn)情況下都是不可信的,所以他們需要手動部署在電腦和設(shè)備的流量被攔截,這樣用戶的瀏覽器會信任模擬網(wǎng)站與他們簽署的證書。
sha - 1,一個老齡化的散列算法,在理論上被淘汰的過程,因為它是容易受到攻擊,可能導(dǎo)致偽造的數(shù)字證書,這只是一個時間問題有人收益的能力。
因此,CA /瀏覽器論壇,一組證書頒發(fā)機構(gòu)和瀏覽器制造商,集指南的發(fā)行和使用數(shù)字證書,決定新SHA-1-signed證書不應(yīng)發(fā)表在1月1日,2016年。
sha - 1證書在這個日期之前至少將繼續(xù)被信任,直到7月1日,2016年,根據(jù)不同的瀏覽器,但不遲于2017年1月1日。
Mozilla決定停止信任在Firefox sha - 1證書,發(fā)表在1月1日之后。乍一看,這不該有太大影響,因為信任公共ca不應(yīng)該發(fā)行新證書后,日期。
然而,瀏覽器制造商沒有考慮這一事實有些HTTPS檢驗系統(tǒng)和應(yīng)用程序可能會繼續(xù)生成sha - 1證書替代真正的網(wǎng)站。因為它開始收到報告用戶的這種系統(tǒng)可以不再訪問HTTPS網(wǎng)站,即使他們真正證書簽署了更安全的SHA-2函數(shù)。
Mozilla決定解除禁止sha - 1,至少暫時在Firefox 43.0.4,周三公布的。
“最新版本的Firefox還可以重新開啟支持sha - 1證書,以確保我們可以更新用戶背后中間人設(shè)備,并使我們更好地評估有多少用戶會受到影響,”該公司在一篇博客文章中說。“TLS中間人系統(tǒng)的供應(yīng)商應(yīng)該努力更新他們的產(chǎn)品使用更新的摘要算法。”
谷歌還計劃禁止sha - 1證書后1月1日開始的下一個穩(wěn)定版Chrome,48個版本。
然而,該公司12月在博客中表示,這只會禁止證書滿足三個標(biāo)準(zhǔn):簽署了sha - 1,1月1日或之后的發(fā)行和鏈回公共CA。
“注意,網(wǎng)站使用sha - 1新證書鏈當(dāng)?shù)匦湃五^(而不是公共ca)將繼續(xù)沒有證書錯誤,”該公司表示。
因為自有根CA證書所使用的類似中間人HTTPS檢查系統(tǒng)不是“公共”CAs,用戶應(yīng)該不會受到影響。
這可能是一個解決方案對Mozilla也當(dāng)它決定恢復(fù)禁令 灰鴿子使用教程。