SSL证书升级：SHA-256替代SHA-1成趋势

创作时间:

作者:

@小白创作中心

SSL证书升级：SHA-256替代SHA-1成趋势

引用

来源

https://www.securew2.com/blog/what-is-sha-encryption-sha-256-vs-sha-1

https://docs.trellix.com/bundle/epolicy-orchestrator-5.10.0-installation-guide/page/UUID-39357510-0131-907b-2c5b-d2fe558d0fdf.html

https://www.namecheap.com/support/knowledgebase/article.aspx/9415/38/ssl-certificate-migration-from-the-sha1-to-sha2-algorithm/

https://en.wikipedia.org/wiki/SHA-1

https://www.digitalpolicy.gov.hk/en/our_work/digital_infrastructure/legal_framework/regulation/eto/digital_cert/types_of_digital_cert/

https://www.encryptionconsulting.com/education-center/sha-256/

https://cheapsslweb.com/blog/what-is-sha-256-algorithm-how-it-works/

https://support.globalsign.com/ca-certificates/root-certificates/globalsign-ssl-products-intermediate-and-root-migration

https://guptadeepak.com/sha-1-legacy-applications-and-migration-strategies/

10.

https://learn.microsoft.com/en-us/dynamics365/fin-ops-core/fin-ops/get-started/removed-deprecated-features-platform-updates

11.

https://specopssoft.com/blog/sha256-hashing-password-cracking/

12.

https://www.ssldragon.com/blog/sha-256-algorithm/

随着网络安全威胁的日益严峻，SSL证书的升级换代已成为当务之急。从2005年SHA-1算法被发现存在安全漏洞，到2017年Google成功创建两个具有相同SHA-1值的PDF文件，这一系列事件标志着SHA-1算法已不再安全。作为应对措施，全球各大证书颁发机构（CA）和浏览器厂商纷纷推动SSL证书从SHA-1向SHA-256算法的升级转型。

技术对比：SHA-1与SHA-256的差异

SHA-1和SHA-256都是由美国国家安全局（NSA）设计的哈希算法，但两者在设计原理和安全性上存在显著差异。SHA-1算法产生一个160位（20字节）的哈希值，而SHA-256则产生一个256位的哈希值。更长的输出长度意味着SHA-256具有更强的抗碰撞性，即更难找到两个不同的输入产生相同输出的情况。

从迭代过程来看，SHA-1算法包含80轮迭代，而SHA-256则包含64轮迭代。虽然SHA-256的迭代轮数较少，但由于其更复杂的迭代过程和更长的输出长度，SHA-256在抗碰撞性和暴力破解方面表现出色。目前尚未发现针对SHA-256的有效攻击方式，而SHA-1则已被证实存在安全漏洞。

迁移之路：从SHA-1到SHA-256

早在2014年11月，知名域名注册商Namecheap就开始默认提供SHA-2签名证书。随后，各大浏览器厂商也纷纷跟进，宣布停止支持SHA-1证书。2016年1月起，所有SHA-1证书停止发放，浏览器将其标记为不安全。2017年，Google和CWI Amsterdam成功演示了SHA-1碰撞攻击，进一步推动了SSL证书的升级进程。

微软也在2020年8月停止在Windows Update中使用SHA-1代码签名，这意味着未更新到SHA-2的Windows系统将无法接收最新更新。这一举措进一步加速了SHA-256算法的普及。

行业现状：CA机构的升级进展

目前，全球主要的证书颁发机构都已经转向SHA-256算法。以香港为例，香港邮政认证机构（Hongkong Post Certification Authority）和Digi-Sign认证服务机构都已开始提供基于SHA-256的数字证书。这些证书广泛应用于个人、组织、服务器和政府机构，用于加密传输和数字签名，以满足不同场景的安全需求。