Ang mga update sa Martes para sa Internet Explorer at Microsoft Edge ay pinipilit ang mga browser na iyon I-flag ang mga sertipiko ng SSL / TLS na naka-sign sa pag-iipon ng pag-andar ng SHA-1 na may walang katiyakan.

Ang mga tagatangkilik ng browser at mga awtoridad ng sertipiko ay nakatuon sa isang pinagsama-samang pagsisikap upang maiwasang gamitin ang mga sertipikong SHA-1 sa web sa nakalipas na ilang taon, dahil Ang pag-andar ng hashing ay hindi na nagbibigay ng sapat na seguridad laban sa pag-spoof.

SHA-1 (Secure Hash Algorithm 1) ay itinayo noong 1995 at kilala na mahina sa mga pag-atake ng teoretikal mula noong 2005. Ang US National Institute of Standards and Technology ay ipinagbabawal ang paggamit ng SHA-1 ng mga pederal na ahensya ng US mula 2010, at ang mga awtorisadong digital na awtoridad ay hindi pinahintulutan na mag-isyu ng SHA-1-sign na mga sertipiko mula Enero 1, 2016, bagaman ang ilang mga exemption ay ginawa-halimbawa, para sa mga hindi napapanahong mga terminal ng pagbabayad .

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

Ang hash function na tulad ng SHA-1 ay ginagamit upang kalkulahin ang isang alphanumeric na string na nagsisilbing cryptographic na representasyon ng isang file o isang piraso ng data. Ito ay tinatawag na isang digest at maaaring maglingkod bilang isang digital na lagda. Sa Pebrero, ang mga mananaliksik mula sa Google at CWI (Centrum Wiskunde & Informatica, isang sentro ng pananaliksik sa matematika sa The Netherlands) ay pinatunayan ang unang praktikal na pag-atake ng banggaan laban sa SHA-1, na nagawa ang dalawang Mga PDF file na may parehong SHA-1 digest. Ito ay di-napatutunayang walang alinlangan na ang pag-andar ng pag-agos na hashing ay epektibong nasira at hindi dapat gamitin para sa sensitibong mga aplikasyon.

Ang mga vendor ng browser ay nagplano mula pa noong 2015 upang i-flag ang SHA-1 na mga sertipiko bilang hindi secure at harangan ang mga ito. Ginamit ng Google Chrome at Mozilla Firefox ang isang diskarte: Simula noong maagang 2016 na-block ng mga browser ang mga sertipikong SHA-1 na ibinigay pagkatapos ng Enero 1, 2016 at simula noong Enero ngayong taon sinimulan nilang harangan ang lahat ng umiiral na mga sertipikong SHA-1, kabilang ang mga lumang na may mahabang panahon ng validity .

Ang bersyon ng Chrome 56, na inilabas noong Enero, ay nagsimula sa pag-block sa lahat ng mga sertipikong SHA-1 na naka-chain pabalik sa mga awtorisadong sertipiko ng awtoridad sa publiko. Sa bersyon 57 sinimulan din nito ang pag-block ng mga sertipikong SHA-1 na kadena pabalik sa isang lokal na root CA. Gayunpaman, nagbibigay ito ng isang mekanismo ng patakaran para sa mga organisasyon upang huwag paganahin ang paghihigpit na ito. Iyon ay dahil ang mga negosyo ay maaaring magpatakbo ng kanilang sariling mga internal infrastructure certificate na umaasa sa self-generated SHA-1 na mga sertipiko ng ugat at hindi maaaring madaling palitan ang mga ito dahil sa mga sistema ng legacy na hindi sumusuporta sa mga bagong function na hashing tulad ng SHA-2. Ang mga sertipiko na ipinakilala noong Martes sa IE at Edge ay magkakaroon lamang ng epekto sa mga sertipiko na kadena sa isang root certificate sa Programang Pinagkakatiwalaang Root ng Microsoft, sinabi ng Microsoft sa isang advisory sa seguridad.

Ang mga sertipiko ng SHA-1 ng enterprise at self-sign ay hindi maaapektuhan ngayon, ngunit ang pangmatagalang plano ng Microsoft ay upang mai-phase SHA-1 mula sa lahat ng mga usages sa Windows, kabilang ang paggamit ng pag-andar para sa pagpapatunay ng integridad ng mga na-download na file.