微软二月挥别SHA-1

微软已从2月14日起不再支持针对HTTPS的SHA-1哈希算法，旨在加速网站维护者转用SHA-2。

SHA-1的缺点在十多年前就已众所周知，它让中间人攻击有机可乘，频繁引起钓鱼事件和欺诈内容。这也是为什么所有的主流浏览器厂商都提出在2017年2月停止支持SHA-1算法。

谷歌在的安全博客中提出，在2017年一月末的Chrome56版本中移除对SHA-1的支持。而Mozilla也曾说过会在火狐51起停止支持SHA-1。

“从2017年2月14日起，微软Edge和IE11会阻止持有SHA-1证书的网站加载，并将显示不合法证书警告。尽管我们极其不支持SHA-1，用户依旧有权利无视这个报错、继续访问网站。”，微软指出。“当然，这一举措只会影响关联到那些被微软信任的Root CA。手动安装的用户或是自签发SHA-1证书不会受到影响。但是，我们还是建议所有客户尽快转向SHA-256。”

一旦实行，仍旧使用SHA-1证书的网站可就要遇上麻烦了！因为访客将在访问这些网站时被警告”该网站不可信“，而这所带来的影响，不可估量。不仅如此，一些网站还会在加载中遇上困难，而且网址栏上也不会显示绿色锁样。

安全机构Venafi在上周发布的调查中强调，超过35%的网站仍旧在使用SHA-1。这个问题可能部分归因于许多组织对其数字证书和加密密钥缺乏可见性。Venafi指出，许多组织连他们有多少证书和用了多少密钥都不清楚，这使得从SHA-1到SHA-256的一直变得难上加难。