浏览器对SHA1签名证书的响应

Question

通过服务器证书->创建域证书“向导”使用“我的域证书颁发机构”(假定为“机密”根CA的中间层)生成IIS证书。输入我的服务器的FQDN作为通用名称，填写剩余的表单并点击Finish。生成证书并显示为由MYDOMAIN.FQDN颁发并颁发给MYSERVER.FQDN的有效证书。我将绑定更改为443以使用此新证书。

当我访问该网站时，使用：

Chrome -它没有给我‘不可信的弹出’，但它确实在URL的HTTPS部分设置了一条红线，当我检查详细信息时，它说：“这个站点使用弱的安全配置SHA-1，所以您的连接可能不是私有的”.我检查了证书的详细信息，它确实与我刚刚启用的TLS1.0证书相同，并且在Chrome ->证书菜单中，我确实看到我们的->是一个受信任的中间证书。

火狐-它给我弹出说“不能确认你的连接是安全的”.“证书不受信任，因为颁发者证书未知”.因此，我在火狐的证书菜单中查找MYDOMAIN.FQDN，它在任何地方都看不到。

让我直截了当地通过，我认为MYDOMAIN.FQDN是一个可信的中间证书颁发机构。

问题：

• 为什么火狐不承认MYDOMAIN.FQDN是一个可信的中间证书.不应该将其存储在OS级别(并且作为域的成员应用于所有浏览器？)
• 我完全理解使用SHA1的风险和发现的漏洞.谷歌只是试图通过在网址中放置(非常可见的)红线来阻止人们使用SHA1吗？
• 我的域证书颁发机构中是否存在默认为SHA2或更好的签名散列的设置，因为我在“创建域证书”向导中没有看到哈希算法选项。我猜我可以分两步完成Create请求->的发布，并指定哈希算法。

谢谢!

Answer 1

要回答前两个要点：

• Firefox有自己的可信CA列表。您可以在菜单Button>Options>Advanced>Certificates(tab)>View Certificates>Authorities(选项卡)中添加证书。这是针对火狐38版的。
• 没错，谷歌正试图让人们蒙羞，让他们从SHA1转向更安全的哈希(如SHA2 )。这里是关于它的铬博客文章。还请参见底部关于根证书中的SHA1与中间证书中的SHA1不同处理的说明。

编辑:我遇到了一些在从属CA上使用SHA-2的微软官方文档，所以我会将它包含在我的回答中。

为SHA-2配置从属CA -2根CA上选择的散列决定如何签署从属CA的证书，而不管CSP/KSP和散列是在从属CA的安装过程中选择的(并在从属CA的证书请求中请求)。证书请求中请求的散列将被忽略，父CA上的注册表中的值将占上风。在从属CA安装期间，您在“选择用于签名此CA使用的证书的哈希算法”下选择的哈希算法确定从属CA签发的证书和CRLs如何进行签名。还可以使用上述注册表项更改这些值，并在重新启动ADCS之后应用这些值。总之，默认情况下，在根CA安装期间选择的哈希算法将确定用于签名根CA自己的证书以及它发出的所有证书和CRL的散列(尽管在生成根CA证书后可以使用注册表更改签名算法)。从属CA的证书将由根CA安装期间指示的散列签名。由从属CA发出的证书将由在从属CA安装期间选择的散列签名。所有用于签署颁发证书和CRLs的选定密码可以在注册表中更改，并且在重新启动ADCS之后，将适用于所有未来颁发的证书和CRLs。还需要注意的是，证书模板版本或请求证书的客户端对CA是否使用特定哈希签名没有影响。用于签名数字证书的散列由上面列出的字段和值确定。