Сайты, использующие сертификаты SHA-1, скоро перестанут открываться во всех популярных браузерах

Большинство популярных веб-браузеров отказываются от SHA-1 — алгоритма хеширования, созданного для защиты данных — и вскоре начнут блокировать сайты, которые его используют.

В своем блоге Microsoft заявила, что алгоритм больше не является безопасным и позволяет злоумышленникам проводить имитационные, фишинговые атаки и атаки типа “man-in-the-middle”. С 14 февраля Microsoft Edge и Internet Explorer 11 перестанут автоматически загружать страницы, которые используют сертификаты SHA-1. Вместо этого, перед тем, как пользователь сможет пойти дальше, они будут предупреждать о том, что сертификат больше не действителен.

Google также сделала похожее заявление, в котором говорится, что новая версия Chrome (версия 56 выходит в конце января) не будет поддерживать устаревший алгоритм хеширования.

То же самое сделает и Firefox. Ожидается, что все популярные браузеры прекратят поддержку SHA-1 к весне 2017.

На графике ниже можно увидеть, как стремительно падает популярность SHA-1. Более того, с 1 января 2016 года выдача SSL сертификатов с поддержкой хеш-функции SHA-1 центрами сертификации была прекращена, а вместо них стали предлагаться сертификаты на алгоритме хеширования SHA-2. Подробнее о разнице между алгоритмами можно узнать здесь.

Алгоритмы хеширования стали повсеместно устаревать с развитием мощности математических и компьютерных вычислений.Так, например, когда-то давно MD5 был очень популярным алгоритмом, пока не был заменён на SHA-1. Но как ранее заметила Google: “SHA-1 впервые показал признаки слабости еще 11 лет назад”, — поэтому отказ от него был всего лишь вопросом времени. Несколько недавних атак и утечек данных показали, насколько эти алгоритмы ненадёжны в наше время.