Welche Risiken gibt es in der Umstellung von SHA-1 zu SHA-2?

Das wohl größte Risiko besteht darin, dass Ihre Webseitenbesucher eventuell ältere Betriebssysteme und/ oder Browser verwenden, die SHA-1-Zertifikate dann nicht mehr unterstützen. Es ist generell fraglich, inwieweit Entwickler grundsätzlich SHA-2 unterstützen – im Zweifel empfehlen wir, Rücksprache mit dem Entwickler-Support zu halten. Im Folgenden haben wir Ihnen eine Übersicht zusammengestellt, welche Systemversionen SHA-2 unterstützen (Angaben ohne Gewähr):

• Windows: ab XP SP3
• Windows Phone: ab Version 7
• Windows Server: ab Version 2003 SP2 zzgl. Hotfixes
• Mac OS X: ab Version 10.5
• Apple iOS: ab Version 3.0
• Android: ab Version 2.3
• BlackBerry OS: ab Version 5.0
• Apache: Ab Version 2.0.63 mit OpenSSL 1.1.x (theoretisch auch OpenSSL 0.9.80, wegen Heartbleed empfehlen wir die höhere Version)
• Java: Ab Version 1.4.2
• Mozilla NSS: ab Version 3.8
• Oracle Weblogic: ab Version 10.3.1
• IBM http Server: ab Version 8.5
• IBM Domino Server: kein SHA-2-Support
• Citrix: siehe Citrix-Übersicht
• Internet Explorer: ab Version 6
• Mozilla Firefox: ab Version 1.5
• Google Chrome: ab Version 26
• Safari: ab Version 3
• Opera: ab Version 9.0
• Outlook 2003/2007 unter Windows XP SP3: nicht in der Lage, SHA-2-signierte E-Mails zu verifizieren oder zu versenden
• Outlook 2007 oder höher: SHA-2-Support gegeben
• Mozilla Thunderbird 24 unter Windows XP SP3: SHA-2-signierte E-Mails können verifiziert werden, Versand bleibt abzuwarten (bereits mit SHA-1 gab es generelle Versandprobleme)
• IBM Notes 9: SHA-2-Support grundsätzlich vorhanden, die Verifikation signierter E-Mails bereitet allerdings Probleme