ウェブの世界における SHA-1 の廃止

ウェブの世界における SHA-1 の廃止計画を Mozilla は 2015 年から進めてきましたが（参考：日本語訳）、その計画もいよいよゴールに向かいつつあります。2 月 23 日に CWI Amsterdam と Google の研究チームは、SHA-1 のハッシュ値を意図的に衝突させる現実的な手法を世界で初めて公開しました。このことにより、SHA-1 アルゴリズムの非安全性が明らかになったのと同時に、ウェブセキュリティの要素技術として利用させないようにすべきという Mozilla の判断がより強固となりました。

昨年の秋にお知らせした通り（参考：日本語訳）、SHA-1 を利用する Firefox のユーザー数は Firefox 51 のリリース以降徐々に減少しつつあります。2 月 24 日からは Firefox 52 のリリースに伴い、この廃止方針が Firefox の全ユーザーにデフォルトで適用されることになります。

まだ SHA-2 証明書へ移行していないウェブサイトにアクセスする場合、Firefox がSHA-1 を完全に廃止するとユーザーに影響が出ますが、その数はウェブのトラフィック全体の 0.1% を下回っています。安全性に問題のある暗号方式を Firefox から完全に廃止することと並行して、モダンで安全な HTTPS をウェブサイトの運用者が適用できるように支援する取り組みも継続して行います。

Firefox ユーザーの皆様は、セキュリティに関する最新の更新・機能を利用できるよう、https://www.mozilla.org/firefox にアクセスして最新の Firefox へ常に更新されているようにしてください。

SHA-1 証明書に対する Mozilla の方針について、ご質問は mozilla.dev.security.policy のフォーラムまでお願いいたします。

※ この投稿は Mozilla Security Blog の記事 “The end of SHA-1 on the Public Web” の抄訳、また Mozilla Security Blog 日本語版からのクロスポストです。