Google社発表のSHA-1衝突攻撃成功のニュースについて

平素は、グローバルサインをご愛顧いただき誠にありがとうございます。

日本時間の本日2017年2月24日昼頃、電子証明書の署名ハッシュアルゴリズムに長年使われている「SHA-1」について、Google社がSHA-1衝突を初めて成功させたと発表いたしました。このため、署名ハッシュアルゴリズム「SHA-1」で発行されている電子証明書の利用が安全でない可能性が判明いたしました。

このGoogle社の発表に伴い、グローバルサインでは、現在SHA-1にて発行している「コードサイニング証明書」および「電子署名(S/MIME)用証明書」において、安全だと証明されるか、弊社の今後の方針が決定されるまでの間、新規および更新でのSHA-1証明書発行を停止しております。

SSLサーバ証明書について

グローバルサインでは2015年12月をもちまして、SHA-1での発行を終了しています。それ以前に弊社から発行の上、現在も有効期限内でご利用いただいているお客様もおりますが、2017年1月末以降は主要ブラウザで警告表示されており、弊社としては以前より「SHA-1」でのご利用を推奨しておりません。

コードサイニング証明書について

現在、お申し込み時に署名ハッシュアルゴリズムを「SHA-1」「SHA256」のどちらかお選びいただけますが、「SHA-1」でお申し込みいただいたお客様については、発行を見合わせております。該当のお客様には弊社の方針が決定次第、ご連絡いたします。

また、タイムスタンプをご利用いただいているお客様は、SHA256でのご利用を推奨いたします。
※EVコードサイニング証明書は「SHA256」のみ発行しています。

クライアント証明書について

現在、お客様側の管理画面上で「SHA-1」「SHA256」のどちらかお選びいただけます。今回のニュースを受けて弊社では、「SHA256」での発行を推奨いたします。

電子署名(S/MIME)用証明書について

現在、お申し込み時に署名ハッシュアルゴリズムを「SHA-1」「SHA256」のどちらかお選びいただけますが、「SHA-1」でお申し込みいただいたお客様については、発行を見合わせております。該当のお客様には弊社の方針が決定次第、ご連絡いたします。

文書署名用証明書について

「SHA256」のみ発行しています。

当件につきましては弊社の方針が決定次第、再度お知らせいたします。