建站
咨詢
售后
建站咨詢
新聞中心
Facebook和Cloudflare警告道：上千萬用戶將無法訪問只使用SHA-2簽名證書的HTTPS網(wǎng)站。
十年的臨海網(wǎng)站建設(shè)經(jīng)驗(yàn)，針對(duì)設(shè)計(jì)、前端、開發(fā)、售后、文案、推廣等六對(duì)一服務(wù)，響應(yīng)快，48小時(shí)及時(shí)工作處理。成都全網(wǎng)營(yíng)銷推廣的優(yōu)勢(shì)是能夠根據(jù)用戶設(shè)備顯示端的尺寸不同，自動(dòng)調(diào)整臨海建站的顯示方式，使網(wǎng)站能夠適用不同顯示終端，在瀏覽器中調(diào)整網(wǎng)站的寬度，無論在任何一種瀏覽器上瀏覽網(wǎng)站，都能展現(xiàn)優(yōu)雅布局與設(shè)計(jì)，從而大程度地提升瀏覽體驗(yàn)。成都創(chuàng)新互聯(lián)公司從事“臨海網(wǎng)站設(shè)計(jì)”,“臨海網(wǎng)站推廣”以來，每個(gè)客戶項(xiàng)目都認(rèn)真落實(shí)執(zhí)行。
如果這些網(wǎng)站只使用SHA-2哈希算法進(jìn)行簽名的數(shù)字證書，數(shù)千萬Web用戶將再也無法通過HTTPS協(xié)議訪問這些站點(diǎn)。
該警告來自Facebook和CloudFlare，原因是瀏覽器廠商在考慮加快老舊又易受攻擊的SHA-1函數(shù)的退休。
這兩家公司已經(jīng)在他們的站點(diǎn)上部署了支持SHA-1證書的機(jī)制，面向的是不支持SHA-2但仍在世界某些地方廣泛使用的老版瀏覽器和操作系統(tǒng)。
這些老舊系統(tǒng)包括Windows XP SP3以前的Windows版本、安卓2.3(姜餅)以前的版本和任何依賴OpenSSL 0.9.8進(jìn)行加密通信的應(yīng)用。
SHA-1 (安全散列(哈希)算法1)可追溯至1995年，在2008年研究人員發(fā)現(xiàn)用更老的MD5函數(shù)進(jìn)行簽名的證書能被偽造之后，就成為了SSL/TLS證書簽名的默認(rèn)選項(xiàng)。
SHA-1本身在理論上也是可被攻破的， 但針對(duì)它的攻擊可行性依賴于可用的計(jì)算能力。2012年，著名密碼研究專家布魯斯·施奈爾估計(jì)：如果使用商業(yè)云計(jì)算服務(wù)進(jìn)行，可行的SHA-1攻擊在2015年的成本將達(dá)到70萬美元，到了2018年可能將耗費(fèi)17.3萬美元，這是在犯罪集團(tuán)的承受范圍之內(nèi)的。
因此，CA瀏覽器論壇(CA/B論壇)，一個(gè)由證書頒發(fā)機(jī)構(gòu)和瀏覽器廠商組成的數(shù)字證書使用和保障指南設(shè)置的組織，決定從2016年1月1日起SHA-1簽名的證書不應(yīng)該再被頒發(fā)。瀏覽器廠商也決定，現(xiàn)有SHA-1證書將從2017年1月1日起不再被他們的瀏覽器所信任——即使瀏覽器并沒有專門設(shè)置從那時(shí)起將這些證書作廢。
然而，在10月份，一組研究人員展示了突破SHA-1的新方法，比之前預(yù)期的攻擊成本的降低更快了一些。這一事件促使像Mozilla和微軟這樣的瀏覽器廠商開始考慮要不要將SHA-1證書在他們產(chǎn)品中的退休時(shí)限更提前一些。
為讓用戶仍能繼續(xù)訪問他們的在線資產(chǎn)，繼續(xù)使用SHA-1的HTTPS站點(diǎn)主人(大約有100萬，包括了流量最大的14萬站點(diǎn)中的大約1/6)，便處于要拿到用SHA-2簽名的新證書的壓力之下了。
不過，CloudFlare的研究人員指出，這一問題的實(shí)質(zhì)，是目前訪問HTTPS服務(wù)的用戶中有1.69%是從不支持SHA-2的瀏覽器和操作系統(tǒng)訪問的。
從百分比上看，這一數(shù)字似乎不大，但那可是3.7千萬人，而且其中大多數(shù)分布在“世界上最窮、最受壓迫、最飽受戰(zhàn)爭(zhēng)蹂躪的國(guó)家?！盋loudFlare首席執(zhí)行官馬修·普林斯周三在一篇博客文章中說。
根據(jù)CloudFlare的數(shù)據(jù)，SHA-2支持率最低的十大國(guó)家是：中國(guó)(6.08%)、喀麥隆(5.39%)、也門(5.25%)、蘇丹(4.69%)、埃及(4.85%)、利比亞(4.83%)、象牙海岸(4.67%)、尼泊爾(4.52%)、加納(4.42%)和尼日利亞(4.32%)。前25的國(guó)家名單中包括了來自非洲、中東、亞洲和中南美洲的其他國(guó)家。
“換句話說，今年12月31號(hào)之后，最脆弱的最需要加密保護(hù)的那部分互聯(lián)網(wǎng)用戶將被從加密網(wǎng)絡(luò)中斷開?！盋loudFlare研究人員稱，“而不幸的是，如果我們想再增加20億互聯(lián)網(wǎng)用戶，他們中的許多人會(huì)用二手安卓機(jī)上線。因此，這一問題短期內(nèi)得不到解決?！?/p>
Facebook提出了相同的問題，估測(cè)當(dāng)前在用的瀏覽器中3%~7%不支持SHA-256，也就是SHA-2。
“這些人的分布很不均衡，大部分集中在發(fā)展中國(guó)家，在這些國(guó)家中最有可能的結(jié)果就是，希望延伸至目標(biāo)用戶群的政府、公司企業(yè)和非政府組織的HTTPS部署遭遇嚴(yán)重的倒退。”Facebook首席安全官阿列克斯·斯塔莫斯在周三發(fā)表的一篇博客文章中說。
Facebook已經(jīng)通過建立基于用戶使用的瀏覽器自動(dòng)切換證書的機(jī)制解決了這個(gè)問題。在Facebook的機(jī)制下，當(dāng)代瀏覽器可以使用SHA-2證書而其他更老版本的瀏覽器則會(huì)收到用SHA-1簽名的證書。
這一措施使得瀏覽器廠商可以繼續(xù)執(zhí)行他們?cè)诿髂耆∠麑?duì)SHA-1證書支持的計(jì)劃，而站點(diǎn)也可以服務(wù)那些使用不太可能被升級(jí)的老舊設(shè)備訪問的用戶。
Facebook已將其證書切換機(jī)制作為Proxygen HTTP庫(kù)項(xiàng)目的一部分在BSD許可協(xié)議下開源了。這意味著其他開發(fā)者也能在他們自己的項(xiàng)目和TLS代理中使用這一機(jī)制。
運(yùn)營(yíng)內(nèi)容分發(fā)網(wǎng)絡(luò)以優(yōu)化和保護(hù)其客戶站點(diǎn)的CloudFlare 為其付費(fèi)用戶啟動(dòng)了自動(dòng)SHA-1回退服務(wù)。如果自己愿意的話，公司和企業(yè)客戶可以關(guān)閉這一功能，高級(jí)用戶則將在今年年底能夠擁有相同的功能。
Facebook和CloudFlare并不是唯一這樣做的企業(yè)，中國(guó)互聯(lián)網(wǎng)企業(yè)阿里巴巴在它的許多網(wǎng)站上也開始回避SHA-1的使用。鑒于中國(guó)有數(shù)量龐大的互聯(lián)網(wǎng)用戶使用缺乏SHA-2支持的瀏覽器訪問網(wǎng)絡(luò)，阿里巴巴做出此決策不足為怪。
Facebook和CloudFlare想做得更進(jìn)一步。他們敦促CA/B論壇建立新的證書類型——遺留驗(yàn)證證書(LV證書)，這類證書中仍可使用SHA-1簽名。
這類證書可以在現(xiàn)有SHA-1證書退休日期之后發(fā)放給那些能證明自己為當(dāng)代瀏覽器使用當(dāng)代證書和協(xié)議而僅僅為遺留瀏覽器回退到LV證書的組織。
網(wǎng)頁(yè)題目：SHA-1退休：數(shù)千萬用戶通向加密網(wǎng)站之路被阻
文章路徑：http://www.dlmjj.cn/article/cddoeij.html
