Siguiendo la recomendación del NIST (National Institute of Standards and Technology)
que aconseja no utilizar algoritmos de hashing criptográfico que proporcionen una seguridad igual o menor a 80 bits de información (entre los que se encuentra SHA1), desde las principales compañías desarrolladoras de navegadores web se han realizado diferentes anuncios sobre sus planes de renovación de certificados digitales o políticas de certificados para dejar de usar certificados SHA1.
Las guías de CA Browser Forum, que aúnan a los principales desarrolladores de navegadores web, han aprobado un documento , que en el punto 7.3.1 también desaconseja el uso de SHA1.
En lo que tiene que ver con las conexiones SSL, la comprobación que se realizará desde los navegadores afecta al certificado final y al certificado intermedio.
Los principales proveedores están de acuerdo en que a partir del 1 de Enero de 2016 ya no se deberían emitir certificados por parte de las CA’s que usen algoritmos SHA1 y, a partir del 1 de Enero del 2017, no se debería confiar en ninguno. Esto se implementará en los navegadores mediante advertencias a los usuarios, imágenes de ‘https’ tachadas o en rojo, bloqueos, etc.
Por tanto sería recomendable que estas limitaciones se tuvieran en cuenta en caso de que fuera necesario renovar los certificados SSL, renovando los certificados por otros con algoritmo SHA256 o superior tanto para el final como para el intermedio.
Esto también afecta a los certificados de firma de aplicaciones.
A continuación se pueden consultar algunos anuncios oficiales:
- https://googleonlinesecurity.blogspot.co.uk/2014/09/gradually-sunsetting-sha-1.html
- https://technet.microsoft.com/en-us/library/security/2880823.aspx
- https://technet.microsoft.com/library/security/2880823.aspx
- https://blog.mozilla.org/security/2014/09/23/phasing-out-certificates-with-sha-1-based-signature-algorithms/
