Ballot SC53 über die Ablehnung von SHA-1 OCSP-Signaturen wurde angenommen

Das CA/B Forum, die Regulierungsbehörde der SSL-Zertifikatsbranche, hat das Ballot SC53 mehrheitlich angenommen. SHA-1 OCSP-Signaturen werden nicht mehr unterstützt.

OCSP (Online Certificate Status Protocol) ist ein Internetprotokoll, das verwendet wird, um den Widerrufsstatus eines digitalen X.509-Zertifikats zu ermitteln.

Der für Signaturen verwendete SHA-1-Hashing-Algorithmus ist nicht stark genug.

Es ist seit langem verboten, private Schlüssel zu verwenden, um OCSP-Antworten direkt mit SHA-1 zu signieren.

Private Schlüssel, die delegierten OCSP-Respondern entsprechen, könnten jedoch weiterhin verwendet werden, um OCSP-Antworten mit dem SHA-1-Algorithmus zu signieren.

Wozu dient das neue Ballot SC53?

Das neue Ballot SC53 bewirkt die folgenden Änderungen am Dokument Baseline Requirements:

• Der Abschnitt 7.1.3.2.1 wurde eingeführt. Er gibt an, dass eine CA OCSP-Antworten nicht mehr mit dem SHA-1-Algorithmus signieren kann.
• Das Feld producedAt für ResponseData in einer OCSP-Antwort MUSS ein Datum vor 2022-06-01 00:00:00 UTC enthalten.

Abonnieren Sie unsere Updates, um über die neuesten Änderungen aus der SSL-Welt auf dem Laufenden zu bleiben.