SHA-1 (Secure Hash Algorithm) to funkcja skrótu (haszująca), której niezawodność została podana w wątpliwość już wiele lat temu, przez co doczekała się dwóch nowocześniejszych następców: SHA-2 i SHA-3. Standard został oficjalnie wycofany w 2010 r., jednak do tej pory korzystają z niego niektóre strony w Internecie. Windows 10, począwszy od Anniversary Update, nie uznaje certyfikatu za bezpieczny, a niebawem jego wbudowane przeglądarki przestaną go w ogóle obsługiwać... chyba że na wyraźne życzenie użytkownika.
Na początku maja Microosft ogłosił, że Microsoft Edge i Internet Explorer nie będą rozpoznawać stron chronionych przez certyfikat SHA-1 jako bezpiecznych, a ikona kłódki w pasku adresu zostanie dla nich usunięta. Strony nadal będą działały, ale nie będą po prostu uznawane za bezpieczne. Już wtedy mówiło się, że w lutym 2017 r. zarówno Microsoft Edge, jak i Internet Explorer będą blokować certyfikaty TLS, podpisane przez SHA-1. Teraz firma uściśla zapowiedź: "Począwszy od 14 lutego 2017 r., Microsoft Edge i Internet Explorer 11 będą uniemożliwiać ładowanie stron chronionych certyfikatem SHA-1 i wyświetlać ostrzeżenie o niepoprawnym certyfikacie. Choć przed tym ostrzegamy, użytkownicy będą mieli opcję zignorowania komunikatu z błędem i kontynuowania wejścia na stronę".
Microsoft podkreśla, że blokada wiąże się tylko z certyfikatami podpiętymi pod Microsoft Trusted Root CA. Manualnie zainstalowane certyfikaty firmowe lub samopodpisane (SSL) i zewnętrzne narzędzia uwierzytelniające nie podlegają nowym zasadom, niemniej jednak Microsoft zaleca przejście na SHA-256. Skąd wiadomo, czy strona używa przestarzałego certyfikatu? Jeśli zainstalowaliśmy listopadowe aktualizacje Windows 10/Windows 7/Windows 8.1, możemy jako administrator uruchomić wiersz polecenia i sprawdzić to, wpisując odpowiednie komendy.
Co to oznacza z punktu widzenia użytkownika końcowego? Jeśli podczas przeglądania Internetu natrafimy na nie do końca bezpieczny serwis szyfrowany przez SHA-1, Edge lub Internet Explorer wyświetli ostrzeżenie, które można zignorować, by otworzyć stronę, lub zdecydować, by jej nie uruchamiać.
