Microsoft a récemment annoncé son intention d'abandonner la prise en charge des certificats TLS signés par l'algorithme de hachage SHA-1 à partir de février 2017. Microsoft a en outre reconnu que de nombreux sites Web, utilisateurs et applications tierces seraient sérieusement affectés par le fait que la société déplore SHA-1. certificats signés.

À partir du 14 février 2017, Microsoft Edge et Internet Explorer 11 empêcheront le chargement des sites protégés par un certificat SHA-1 et afficheront un avertissement de certificat non valide. Bien que nous le déconseillions fortement, les utilisateurs auront la possibilité d’ignorer l’erreur et de continuer sur le site Web, a déclaré Microsoft dans son blog.

La révélation n’est pas tout à fait nouvelle: la société l’a laissé entendre en novembre.

L'algorithme de hachage SHA-1, utilisé pour la sécurité Internet en conjonction avec le protocole HTTPS et les certificats utilisés pour protéger les sites Web, a été déclaré dangereux et vulnérable aux attaques d'adversaires bien financés depuis 2005, mais était largement utilisé jusqu'à la SHA Les algorithmes -2 et SHA-3 testés comme alternatives plus sûres pour les fonctionnalités de hachage sont apparus. L’initiative n’est pas nouvelle et cette fonction a déjà été dénoncée et rejetée par Google et Mozilla, car elle est plus exposée aux collisions cryptographiques que prévu.

Microsoft a précisé que ses navigateurs, Edge et Internet Explorer, empêcheraient désormais les sites utilisant des certificats signés SHA-1 et afficheraient un avertissement «certificat invalide» afin de rétablir la sécurité des services. Bien que les utilisateurs ne soient pas obligés de ignorer les sites, ils auront la possibilité de contourner la menace et d'accéder au site Web potentiellement vulnérable malgré l'avertissement, mais sans l'icône de confiance «barré» que les utilisateurs voient dans la barre d'adresse de leur navigateur..

Les applications Windows tierces exécutant l'ensemble d'API cryptographique Windows SHA-1 ou les versions antérieures d'Internet Explorer ne seront pas affectées par ces modifications.