Voorstel SC53, betreffende de uitfasering van SHA-1 OCSP-handtekeningen, is aangenomen

Het CA/B Forum, de regulator van de SSL-certificatenbranche, heeft voorstel SC53 met meerderheid van stemmen goedgekeurd. SHA-1 OCSP-handtekeningen worden niet langer ondersteund.

OCSP (Online Certificate Status Protocol) is een internetprotocol dat wordt gebruikt om de intrekkingsstatus van een digitaal X.509-certificaat te verkrijgen.

Het hashing-algoritme SHA-1 dat voor handtekeningen wordt gebruikt, is niet krachtig genoeg.

Het is al lang verboden om privé-sleutels te gebruiken om OCSP-antwoorden rechtstreeks te ondertekenen met SHA-1.

Privé-sleutels die overeenkomen met gedelegeerde OCSP-respondenten kunnen echter nog steeds worden gebruikt om OCSP-antwoorden te ondertekenen met het SHA-1-algoritme.

Wat doet het nieuwe voorstel SC53?

Het nieuwe voorstel SC53 brengt de volgende wijzigingen aan in het document Basisvereisten:

• paragraaf 7.1.3.2.1 werd ingevoerd, waarin staat dat een CA niet langer OCSP-antwoorden kan ondertekenen met het SHA-1-algoritme.
• Het veld producedAt voor ResponseData in een OCSP-antwoord MOET een datum vóór 01-06-2022 00:00:00 UTC bevatten.

Schrijf u in voor onze updates om op de hoogte te blijven van het laatste nieuws uit de wereld van SSL.