Проект Mozilla присоединился к инициативе по отказу от SHA-1 для HTTPS

Разработчики Mozilla присоединились к инициативе Google и Microsoft по выводу из обихода сертификатов, подписанных с использованием SHA-1. Инициатива подразумевает прекращение выпуска сертификатов с подписью SHA-1 начиная с 1 января 2016 года и полное прекращение доверия к таким сертификатам с 1 января 2017 года. Вместо SHA-1 для формирования подписи рекомендуется использовать SHA-256, SHA-384 или SHA-512.

Несмотря на то, что настоящее время подавляющие большинство HTTPS-сайтов всё ещё используют сертификаты, подписанные SHA-1, в обозримом будущем безопасность SHA-1 находится под вопросом. Если в 2012 году затраты на подбор коллизии в SHA-1 оценивались в 2 млн долларов, то к 2015 году прогнозируется уменьшение стоимости до 700 тысяч, к 2018 году до 173 тысяч, а к 2021 до 43 тысяч долларов.

Как и в случае с Chrome прекращение поддержки SHA-1 в Firefox будет осуществлено поэтапно. На первом этапе для всех сертификатов c подписью SHA-1 в Web Console планируется обеспечить вывод предупреждения для разработчиков о возможных проблемах с безопасностью. Если срок действия такого сертификата истекает после 1 января 2017 года планируется показать более заметное предупреждение. Вывод предупреждений появится в выпуске Firefox 35, запланированном на 6 января 2015 года. В более поздних выпусках будет реализован специальный индикатор о недоверительном соединении, который будет выводиться только для сертификатов c подписью SHA-1, выписанных после 1 января 2016 года. С 1 января 2017 года сообщение о небезопасном соединении будет выводиться для всех сертификатов c подписью SHA-1.