在主要浏览器禁用后，SHA-1 使用量得到了下降
在 Mozilla 宣布计划阶段性废弃 SHA-1 算法签名的证书一年后，SHA-1 的使用量得到了显著下降。据 Firefox 的数据看，使用量从去年的 50% 降至今年三月的 3.5%，而到这个月仅占到加密流量的 0.8%。
HTTPS SSL 证书
175.3.57.209
使用量的到下降？这标题感觉怪怪的》》》
GHLandy [Chrome 54.0|Windows 10]
2016-10-23T19:33:05.000
在 Mozilla 宣布计划阶段性废弃 SHA-1 算法签名的证书一年后，SHA-1 的使用量得到了显著下降。据 Firefox 的数据看，使用量从去年的 50% 降至今年三月的 3.5%，而到这个月仅占到加密流量的 0.8%。
在 Mozilla 宣布计划阶段性废弃 SHA-1 算法签名的证书一年后，SHA-1 的使用量得到了显著下降。据 Firefox 的数据看，使用量从去年的 50% 降至今年三月的 3.5%，而到这个月仅占到加密流量的 0.8%。


Mozilla [最近宣布](https://blog.mozilla.org/security/2016/10/18/phasing-out-sha-1-on-the-public-web/)，从 Firefox 51 开始，该浏览器将对 SHA-1 签名的证书显示“不可信的连接”错误信息。Firefox 51 将发布于 2017 年 1 月，Mozilla 最初计划于 2017 年初拉黑 SHA-1 证书。


![](/data/attachment/album/201610/23/111037m0ctivixhxevxee4.jpg)


### Mozilla 率先推动了 SHA-1 废弃


在去年秋天荷兰和法国的大学研究人员们发现可以[非常容易地破解 SHA-1 加密](http://news.softpedia.com/news/sha1-algorithm-could-become-useless-by-the-end-of-the-year-494097.shtml)后， Mozilla 率先推动了 SHA-1 废弃的活动。


在 Mozilla 制定了其阶段性[废弃 SHA-1 算法的时间表](http://news.softpedia.com/news/mozilla-outlines-plan-to-phase-out-sha-1-certificates-as-1-million-sites-still-employ-them-495011.shtml)之后，[谷歌](http://news.softpedia.com/news/after-microsoft-and-mozilla-google-also-hurries-to-block-sha-1-certificates-497942.shtml)和[微软](http://news.softpedia.com/news/microsoft-moves-to-deprecate-sha-1-certificates-in-edge-and-internet-explorer-503597.shtml)也跟着做了相同的决定，这些计划得到了 NIST 的支持。从 2016 年元旦开始，浏览器厂商们就禁用了之后新签发的 SHA-1 签名的 SSL/TLS 证书。


### SHA-1 废弃基本上完成了


即便是有一些[例外](http://news.softpedia.com/news/mozilla-gives-a-security-pass-to-the-people-it-shouldn-t-500986.shtml)，甚至还有一些[争议](http://news.softpedia.com/news/chinese-https-provider-wosign-fires-ceo-after-back-dating-certificate-fiasco-509140.shtml)，但是在多数情况下，CA 厂商们都遵从了此次 SHA-1 禁用行动，SHA-1 市场份额的降低表明了他们的工作成果。


如今，之前签发的使用 SHA-1 签名的旧证书仍然被标为可信，但是从 2017 年元旦开始，浏览器厂商们就会将这类证书标为不可信，无论其签发日期是何时。


Mozilla 的加密工程师 J.C. Jones 说，特殊情况下，比如在内部站点或其它封闭性网络内，如果 SHA-1 证书是由手动导入的根证书签发的，Firefox 不会显示该警告。


在 2015 年底，[Facebook 和 Cloudflare 提议](/article-6721-1.html)允许 CA 厂商们为那些不支持 SHA-2 和其它算法的老浏览器签发 SHA-1 证书，但是这个倡议基本上没得到响应，尽管这有一定的意义。

