Η Microsoft ανακοίνωσε πρόσφατα τα σχέδιά της να εγκαταλείψουν την υποστήριξη για πιστοποιητικά TLS που υπογράφηκαν από τον αλγόριθμο αντιστοίχισης SHA -1 από τον Φεβρουάριο του 2017. Η Microsoft αναγνώρισε επίσης ότι πολλοί ιστοτόποι, χρήστες και εφαρμογές τρίτων θα επηρεαστούν σοβαρά όταν η εταιρεία θα αποδοκιμάσει το SHA-1 υπογεγραμμένα πιστοποιητικά.

Από τις 14 Φεβρουαρίου 2017, το Microsoft Edge και ο Internet Explorer 11 θα εμποδίσουν από φόρτωση ιστότοπους που προστατεύονται με πιστοποιητικό SHA-1 και θα εμφανίσουν μια μη έγκυρη προειδοποίηση πιστοποιητικού. Αν και το αποθαρρύνουμε σθεναρά, οι χρήστες θα έχουν την επιλογή να αγνοήσουν το σφάλμα και να συνεχίσουν να επισκέπτονται τον ιστότοπο, δήλωσε η Microsoft στο blog post.

Η αποκάλυψη δεν είναι ακριβώς νέα: η εταιρεία υπαινίχθηκε τόσο πολύ τον Νοέμβριο.

Ο αλγόριθμος κατατεμαχισμού SHA-1, ο οποίος χρησιμοποιείται για την ασφάλεια του Διαδικτύου σε συνδυασμό με το πρωτόκολλο HTTPS και τα πιστοποιητικά που χρησιμοποιούνται για την προστασία των ιστοτόπων, έχει ανακηρυχθεί επικίνδυνο και ευάλωτο στις επιθέσεις από καλά χρηματοδοτούμενους αντιπάλους από το 2005 αλλά χρησιμοποιήθηκε σε μεγάλο βαθμό πριν από την SHA -2 και οι αλγόριθμοι SHA-3 που ελέγχθηκαν ως ασφαλέστερες εναλλακτικές λύσεις για τις λειτουργίες κατακερματισμού. Η πρωτοβουλία δεν είναι νέα και η λειτουργία έχει προηγουμένως καταγγελθεί και απορριφθεί από την Google και το Mozilla για το ότι είναι πιο επιρρεπείς σε κρυπτογραφικές συγκρούσεις από ό, τι εκτιμάται.

Η Microsoft έχει αναφέρει λεπτομερώς ότι τα περιηγητά τους, το Edge και ο Internet Explorer, θα εμποδίσουν τώρα τους ιστότοπους που χρησιμοποιούν πιστοποιητικά SHA-1 να φορτώσουν και θα εμφανίσουν μια προειδοποίηση "μη έγκυρο πιστοποιητικό", προκειμένου να αποκατασταθεί η ασφάλεια στις υπηρεσίες. Παρόλο που οι χρήστες δεν θα υποχρεωθούν να παρακάμψουν τους ιστότοπους, θα έχουν την επιλογή να παρακάμψουν την απειλή και να έχουν πρόσβαση στον πιθανώς ευάλωτο ιστότοπο παρά την προειδοποίηση, χωρίς το εικονίδιο εμπιστοσύνης "lock bar" που βλέπουν οι χρήστες στη γραμμή διευθύνσεων των προγραμμάτων περιήγησης.

Οι εφαρμογές τρίτων κατασκευαστών που εκτελούν το κρυπτογραφικό API των Windows SHA-1 ή τις προηγούμενες εκδόσεις του Internet Explorer δεν θα επηρεαστούν από αυτές τις αλλαγές.