 Microsoft annonçait en fin d'année 2013 une nouvelle politique de sécurité pour les autorités de certification (Certificate Authorities). Ainsi à compter du 1 janvier 2017, les systèmes Windows (Vista et supérieur) et le navigateur Internet Explorer ne reconnaîtront plus les certificats SSL/TLS basés sur l'algorithme SHA-1 comme étant valides. Les signatures numériques d'applications qui utilisent également SHA-1 ne seront, elles, plus détectées comme valides dès le 1 janvier 2016. A priori, les signatures de pilotes (WHQL ou tierces) ne sont pas concernées par ces changements. Les pilotes déjà signés en SHA-1 devraient donc rester valides.
Microsoft estime que les empreintes SHA-1 ne sont plus suffisamment sûres et qu'il est urgent de passer aux algorithmes de la famille SHA-2 comme le SHA-256. De son côté, Google a aussi annoncé l'année dernière qu'il arrêterait également le support de SHA-1 à partir du 1 janvier 2016. Concrètement, les versions 39 et ultérieures du navigateur Chrome afficheront un avertissement de sécurité si le site web visité utilise un certificat SSL de type SHA-1 et cela même s'il n'a pas encore expiré. Tous les éditeurs de logiciels et de sites web sont donc invités à migrer leurs certificats vers la technologie SHA-2 dès que possible. Les autorités de certification ne proposeront d'ailleurs plus de certificats de type SHA-1 dans les prochains mois.
La grande majorité des applications écrites pour Windows utilisant actuellement une signature SHA-1, beaucoup d'entre-elles ne seront donc plus reconnues comme fiables d'ici un an d'où la nécessité pour les éditeurs de passer au SHA-2 s'ils souhaitent conserver leur niveau de confiance auprès des utilisateurs.
Un problème va toutefois se poser pour les vieux systèmes qui ne supportent pas le SHA-2 ce qui est notamment le cas de Windows XP dans ses éditions RTM, SP1 et SP2. Seul Windows XP Service Pack 3 supporte en effet le SHA-256 et pourra donc détecter la nouvelle signature des applications. Le fabricant de GPU NVIDIA vient par exemple de confirmer que le programme d'installation des drivers graphiques GeForce ne serait plus détecté comme sûr par les systèmes Windows XP 32 et 64 bit à partir de 2016. Un message d'avertissement sera donc affiché mais cela n'empêchera heureusement pas d'effectuer l'installation.
|
Modérateur TLD
|
|
Actualités
25/04/24 Crucial publie l'ISO du firmware M3CR046 pour certains SSD Crucial MX500
25/04/24 Intel Arc Graphics 101.5445 WHQL
25/04/24 Fujifilm X100VI 1.10
24/04/24 Thermalright Core Vision/Frozen Warframe 1.2.4
24/04/24 Crucial MX500 CD/USB M3CR04x M3CR046
24/04/24 Pioneer DJ DJM-A9 1.04
