28 jun. 2022

Implementación de SHA-256

Introducción

SHA-2 consiste en una familia de algoritmos hash criptográficos desarrollados por el NIST (Instituto Nacional de Estándares y Tecnología) para reemplazar el envejecimiento del algoritmo hash SHA-1 que puede tener debilidades matemáticas. 

GlobalSign, en nuestro papel como socio de seguridad, es compatible con la desaprobación de SHA-1 y la transición a SHA-256, el más amplio apoyo de los algoritmos de hash SHA-2. 

Este artículo define los hitos importantes para la introducción de SHA-256 certificados y la depreciación de los certificados SHA-1. 

Fechas importantes para el fin del soporte para SHA-1:

A partir del 16 de enero de 2015, las CA tendrán prohibido emitir certificados SHA-1 que expiren después del 31 de diciembre de 2016. Microsoft, Google y Mozilla comenzarán a implementar actualizaciones para dejar de confiar en los certificados SSL SHA-1 poco después del 1 de enero de 2017. Estos navegadores mostrarán un mensaje de advertencia que no es de confianza a los visitantes del sitio web. 

Plazo Estimado de Microsoft:

Fecha	Acción
Enero 1, 2016	Microsoft dejará de confiar en los certificados de firma de código mediante SHA-1
Enero 1, 2017	Microsoft dejará de confiar en los certificados SSL mediante SHA-1
Febrero 14, 2017	Microsoft lanzará sus parches para deshabilitar la confianza en http://aka.ms/sha1

Plazo Estimado de Google:

El navegador Chrome/Chromium de Google se comportará de manera diferente dependiendo de la versión y la fecha de vencimiento del certificado SSL. Tenga en cuenta que los certificados SSL SHA-1 que son válidos después del 1/1/2017 se mostrarán como no confiables en Chromium 41.  Según los ciclos de lanzamiento anteriores, esperamos que Chrome 41 esté disponible el 10 de febrero de 2015. Google planea eliminar el soporte para los certificados SHA-1 en Chrome 56, que se lanzará al canal estable a fines de enero de 2017.
 

Fecha de Expiración del Certificado	Chromium 39 Nov 18, 2014	Chromium 40 Dec 30, 2014	Chromium 41 Feb 10, 2015
Depues de enero 1, 2016
After June 06, 2016
After January 01, 2017

 

Fecha	Acción
Enero 31, 2017	Google eliminará la compatibilidad con certificados SHA-1 en Chrome 56
Enero 1, 2019	Habilitar la política SHA-1 para anclajes locales se eliminará en la primera versión de Chrome

Plazo Estimado de Mozilla:

La línea de tiempo de Mozilla también se basa principalmente en las fechas de vencimiento de los certificados y está más en línea con la línea de tiempo de Microsoft. Tenga en cuenta que después del 01 de enero de 2017, Firefox no confiará en ningún certificado SHA-1. Además, Firefox 51 se lanzará para permitir la obsolescencia de los certificados SSL SHA-1. 

Las advertencias en la tabla a continuación comenzarán a aparecer en las versiones de Firefox lanzadas a principios de 2015.

Certificado	Resultado en Firefox
Emitido después enero 1, 2016	"Conexión que no es de confianza"
Caduca después enero 01, 2017	Se mostrará advertencia.

Recursos adicionales:

Consejo de Seguridad de CA:
https://casecurity.org/2014/01/30/why-we-need-to-move-to-sha-2/
https://casecurity.org/2013/12/16/sha-1-deprecation-on-to-sha-2/

Compatibilidad con SHA-256 en Windows:
http://blogs.technet.com/b/pki/archive/2010/09/30/sha2-and-windows.aspx

Requisitos del programa Microsoft Root Embedding:
http://social.technet.microsoft.com/wiki/contents/articles/31633.microsoft-trusted-root-program-requirements.aspx

Aplicación de certificados SHA-1 por parte de Windows:
http://social.technet.microsoft.com/wiki/contents/articles/32288.windows-enforcement-of-sha1-certificates.aspx

Google - Cambio Gradual a SHA-1:
http://googleonlinesecurity.blogspot.co.uk/2014/09/gradually-sunsetting-sha-1.html

Comunicados de Google Chrome:
http://googlechromereleases.blogspot.com/

Google - Eliminación de la compatibilidad con certificados SHA-1:
https://security.googleblog.com/2016/11/sha-1-certificates-in-chrome.html

Mozilla - Eliminación gradual de certificados con algoritmos de firma basados en SHA-1:
https://blog.mozilla.org/security/2014/09/23/phasing-out-certificates-with-sha-1-based-signature-algorithms/