Несмотря на то что крупнейшие разработчики поисковых систем и браузеров говорят о прекращении поддержки сайтов, использующих сертификаты SHA-1, в следующем году, 35% компаний по-прежнему их используют, пишет ITPro.
Исследование Venafi Labs показало, что прекращение поддержки коснется 61 млн сайтов. Chrome, Firefox и Edge размещают сообщения о том, что сайты небезопасны, когда пользователь пытается на них зайти. Другие моменты, с которыми пользователи могут столкнуться, включают плохое отображение сайтов, так как браузеры «вырезают» незащищенные элементы, а также отсутствие зеленого замочка, означающего защищенное соединение.
«Оставить SHA-1-сертификаты — это все равно, что расклеить знак приветствия для хакеров, где написано «Мы не заботимся о безопасности наших приложений, данных и клиентов», — прокомментировал Кевин Боцек, главный стратег безопасности в Venafi.
Причина, по которой разработчики браузеров планируют заблокировать доступ к сайтам, использующим устаревший протокол SHA-1, заключается в том, что их сертификатами могут легко манипулировать хакеры. Например, они могут быть перехвачены, а затем использованы для интернет-атак типа «человек посередине» с помощью TLS-соединений.
Сертификаты SHA-2 являются более надежными, но некоторые компании до сих пор воздерживаются от обновления безопасности своих сайтов.
«Средняя организация имеет более 23 000 ключей и сертификатов, и большинство компаний не имеют средств, чтобы обнаружить все сертификаты SHA-1 в своей среде, или просто не видят их, — добавил Боцек. — Это означает, что переход к SHA-2 может быть сложным и хаотичным, и, как следствие, многие предприятия просто спрятали голову в песок. К сожалению, в январе этим компаниям негде будет прятаться. Мой совет — составить план прямо сейчас, потому что когда все начнет рушиться, это будет еще труднее исправить».
