Google Web Search

Googleは9月5日(米国時間)、「Chromium Blog: Gradually Sunsetting SHA-1」において、サーティフィケートチェインにSHA-1を使っているものに関しては、期限を設けて徐々に「安全ではない」という表示に変更していくことを伝えた。現在、SHA-1は2005年に設計された当初と比較して強度が弱いと判断されており、2010年ごろから利用は推奨されなくなっている。今回のGoogleの発表はこうした流れを受けてのもの。

Google Chromeの対応はバージョンごとに異なる。それぞれ次のルールで対処すると説明されている。

  • Chrome 39：2017年1月1日およびこれ以降に期限を迎えるSHA-1シグネチャを含む末端の証明書に関しては「安全(ただしマイナーエラーを含む)」として処理
  • Chrome 40：2016年1月1日から2016年12月31日までに期限を迎えるSHA-1シグネチャを含む末端の証明書に関しては「安全(ただしマイナーエラーを含む)」として処理。2017年1月1日およびこれ以降に期限を迎えるSHA-1シグネチャを含む末端の証明書に関しては「中間(安全とはいえない)」として処理
  • Chrome 41：2016年1月1日から2016年12月31日までに期限を迎えるSHA-1シグネチャを含む末端の証明書に関しては「安全(ただしマイナーエラーを含む)」として処理。2017年1月1日およびこれ以降に期限を迎えるSHA-1シグネチャを含む末端の証明書に関しては「公平に見て安全とはいえない」として処理。また、これらドメインからのリソースに関しては「アクティブ・ミックス・コンテンツ」として処理

SHA-1シグネチャベースの証明書を使用している場合には、早期の段階でより強度の強い暗号アルゴリズムを使ったものへ差し替えることが推奨される。