Buongiorno.
qui c’e’ il Security Advisor in cui si comunica che Microsoft ha deprecato i certificati TSL/SSL SHA-1 da Edge e IE11, a causa della vulnerabilità dell’algoritmo SHA-1 scoperta nel primo trimestre del 2017.
Abbiamo verificato che nell’indice delle CA pubblicato su EIDAS ci sono un centinaio di certificati SHA-1.
Tutto questo rende impossibile l’autenticazione con CNS/CIE su edge e IE11.
Quando verranno aggiornati i certificati CA?
grazie
Marcello
Ma il trust di certificati firmati con lo SHA1 lo fa per quelli server o intermedi, non del certificato root CA (che a quanto ne so può ancora essere SHA1…anche perché ce ne sono molti in giro).
ciao
Ci sono in giro molti certificati sha1, ma l’algoritmo è stato di fatto deprecato.
Mi sembra di capire che i due browser in questione sono molto restrittivi da questo punto di vista, tanto da controllare, in fase di autenticazione, tutta la catena di certificati e anche tutti i certificati configurati nel webserver per decidere se il server è sicuro o meno.
Abbiamo fatto una prova molto banale: dalla cartella dove scarichiamo ogni notte i certificati CA da eidas abbiamo cancellato tutti i certificati sha1, abbiamo fatto ripartire il webserver e l’autenticazione client ha funzionato.
M
Scusami ma il messaggio che ho scritto conteneva dei refusi.
Da quello che so i certificati root CA possono ancora essere firmati SHA1. Poiché non fai connessioni HTTPS con un server che ha un certificato di tipo root CA, non dovresti avere problemi. Un esempio? https://www.digicert.com/
Se guardi la catena di trust, il root CA certificate è firmato con SHA1, diversamente dagli altri.
Visto, temo però l’handshake per la ssl client authentication sia diverso.
riesci a fare ssl client authentication con CNS/CIE con i edge e ie11?
M
Non ho modo di provare e quindi le mie considerazioni sono solo teoriche. Però anche per la client auth il certificato client sarà sicuramente firmato almeno sha256, ma quello root che lo trusta non dovrebbe aver problemi con lo sha1. A meno che non sia nello store dei certificati del client, ma quello è un altro problema.