企业PKI - SHA1降级

Question

这是背景。假设您有一个具有以下功能的企业PKI：

• AC_Root (安全存储中的脱机- SHA1签名)
• SubRootA和SubrootB (安全存储中的脱机- SHA1签名)
• SubSubRootC，SubSubRootD，SubSubRootE.(在线HSM - SHA1签名)
• 终端实体证书(服务器、用户智能卡、自动注册、活动目录)

SHA1不推荐的影响是什么？我知道根证书并不重要，因为自签名从来没有被验证过(只存在于信任库中)，但是Subroot证书呢？

像谷歌或微软这样的编辑器宣布，当SHA1被使用时，浏览器会打印警告，甚至会失败，而且很快就会出现(2015/2016)。

• 这是一个热点问题，主要是出于安全原因，还是因为用户体验(浏览器中的警告，操作系统拒绝SHA1证书)？
• 是否需要组织一个新的关键仪式来创建一个新的"SHA256“链？即使是离线链(根和子根)？用SHA256重新颁发新的终端实体证书？为密钥更新引入一个滑动期？

Answer 1

这是一个主要出于安全原因的热点问题吗？...

还没。目前还没有实际公布的攻击。但它在邮报上。现在的渐变比从早期的MD5哈希算法到SHA1的转换要好。当时还没有明确的弃用策略AFAIK，实际上存在使用MD5-冲突的邪恶攻击。(火焰我们不应该等到SHA1发生同样的事情。

是否需要组织一个新的关键仪式来创建一个新的"SHA256“链？即使是离线链(根和子根)？用SHA256重新颁发新的终端实体证书？

是。离线与否都不重要。证书链的强度只有最弱的一环。(不包括签名不重要的根)。而且: CA证书总是比end entity证书更容易攻击的目标。

为密钥更新引入一个滑动期？

是。不要与SHA1的任何问题，超过上述的截止日期。如果你在截止截止日期之前发布了SHA1，那么只需要书面说明和经理的签字。

Answer 2

它是must-act-immediately-because-attacks-are-feasible-now?吗？不是的。也就是说，当你使用PKI时，你必须有一个长远的愿景，所以现在就开始计划吧。

据估计，到2017年年底，使用云计算资源，预先计算出来的创建冒名顶替证书的散列冲突(以及由此产生的仿冒CA证书)的计算量可能会降到10万美元以下。我相信您知道，替换所有这些证书并建立对新CA的信任是非常重要的。

您将至少要替换您的脱机中间和在线颁发CA，以及替换所有的叶证书。

如果您现在支持新的CA基础设施，如果证书有两年的生命周期，并且如果您的所有应用程序(提供证书的服务器端应用程序和消费/验证证书的客户端应用程序)都能够处理SHA-2，并且保持现有的根(因此不必触摸信任-锚)，那么如果立即开始，您可以简单地替换证书，作为标准更新的一部分。

Answer 3

通过阅读旧白皮书，我猜想只有自签名的根CA证书不受SHA-1弃用计划的影响，并且仍然可以使用SHA-1，因为客户端有其他方法检查根证书的完整性。所有其他证书都应更换。以下是完整的描述：http://ammarhasayen.com/2015/02/02/pki-certificate-services-sha-1-deprecation/