20161104 - Symantec : Désactivation de l'horodatage SHA1

Fin Janvier 2017 Symantec désactivera son service d'horodatage SHA1 RFC 3161.

Il est donc recommandé de signer vos applets Java en utilisant un certificat développeur signé en SHA256 et utilisant le nouveau service d'horodatage SHA256 RFC 3161.

Pourquoi ?

D'une part, SHA1 est en cours de disparition, il s'agit donc d'une évolution naturelle et attendue du service.

D'autre part, Oracle cessera prochainement de supporter SHA1 pour les signatures Java et l'horodatage. La date n'est pas encore connue mais dès qu'elle sera annoncée, les applications java signées en SHA1 après cette dates ne seront plus reconnues.

Cela n'aura pas d'incidence sur les applications signées ou horodatées en SHA1 avant cette date et elles continueront de fonctionner normalement.

Des soucis de compatibilité s'annoncent

Attention cependant : Windows Vista, Windows Server 2008 et plateformes plus anciennes ne sont elles, pas compatibles avec SHA256.

C'est la raison pour laquelle Microsoft recommande de faire de la double signature SHA2/SHA1. Donc avant d'engager toute action, n'hésitez pas à faire des doubles signatures pour conserver la compatibilité avec les outils les plus anciens.

Quels sont les produits concernés ?

Tous les certificats développeur (ou code signing) émis par les autorités Symantec mais aussi Thawte.

Mon certificat développeur est signé en SHA1, que dois-je faire ?

Deux cas de figure :

• Vous êtes en période de renouvellement : alors demandez dès à présent le renouvellement de votre certificat. Vous serez automatiquement redirigé vers un produit SHA256.
  
  
• Si ce n'est pas le cas alors demandez simplement la refabrication gratuite de votre certificat via la page statut de votre certificat. Votre certificat sera automatiquement refabriqué en SHA256.

Liens utiles

• Signer avec signtool (base de registre / À partir de IE7 Vista)
• Signer avec signtool (fichier .pfx ou fichiers .pvk et .spc)

• Annonce Symantec
• Service d'horodatage SHA1 RFC 3161 : http://sha1timestamp.ws.symantec.com/sha1/timestamp
• Service d'horodatage SHA256 RFC 3161 : http://sha256timestamp.ws.symantec.com/sha256/timestamp