Android對SHA-1證書的支持

Question

SHA-1現在被稱爲弱點，許多瀏覽器都將其標記爲不安全。所以我想知道它是否會在不久的將來在Android系統上被棄用？

我的APP的後端正在使用HTTPS的SHA-1證書，並且我讀過Chrome would stop supporting it since 2017。有沒有類似的Android計劃？

謝謝！

Answer 1

我還沒有找到每個Android版本的根證書的方便，權威的在線來源。如果您有已知的股票Nexus設備或感興趣的Android代碼庫，則可以從中提取平臺證書。請記住，原始設備製造商和運營商在添加/刪除Android中的根證書方面略有靈活性，主動跟蹤主要CA的棄用和新根證書引入。

不幸的是，與舊版瀏覽器中SHA-1廣泛存在的MD5不同，SHA-2支持更加有限。例如，Windows XP比Service Pack 3舊，沒有SHA-2支持。另外，許多不到5歲的Android手機（預薑餅）完全不支持SHA-2。鑑於有些運營商難以升級手機，許多這些傳統手機目前仍在使用。

Link

Answer 2

根據谷歌的政策，在不久的將來沒有計劃來避免SHA-1。