Нова политика на Майкрософт блокира сайтове, които използват HTTPS със SHA-1 сертификата, ако са отворени с браузъра Edge.
Заедно с ъпдейтите от този вторник, Майкрософт пуснаха и нова политика за браузърите Edge и Internet Explorer, която блокира сайтове, които все още използват SHA-1 сертификата и не са преминали към SHA-2.
Тази реакция на Майкрософт е малко закъсняла, след като през януари тази година това направиха от Google при техния браузър Google Chrome, месец по-късно, през февруари, от Mozilla направиха същото при браузъра Mozilla Firefox, а Apple спряха поддръжката за SHA-1 през март.
От няколко години SHA-1 постепенно се изместваше от разработчиците с по-новата версия, но бързата промяна беше предизвикана от откритие на Google и CWI Amsterdam за опасен проблем PDF файл.
Тогава компаниите разкриха, че има проблем с хеш сумите при два PDF файла с различно съдържание, които според сертификата SHA-1 са с еднакви хеш суми. Това е абсолютно недопустимо и алгоритъмът никога не трябва да изкарва една и съща хеш сума за различни файлове.
Сега, ако потребителят е инсталирал последните ъпдейти от вторник, вече и браузърът Edge няма да зарежда сайтове, които са подписани със SHA-1 сертификата и ще изкарва съобщение, което ще обяснява, че има проблем със сигурността на сертификата на този сайт.
Тук обаче трябва да се направи едно уточнение – от Майкрософт съобщават, че промяната няма да засегне самоподписаните SHA-1 TSL сертификати, които се използват от бизнеса.
От Google подхождат по-гъвкаво към самоподписаните бизнес сертификати като Chrome 57 ги блокира, но предлага корпоративна опция в самия браузър, с която да се вярва на подобни сертификати. Тази възможност обаче ще е налична само до януари 2019-та година.
