Improve this translation, if you can! Thank you for beeing an active part of the CAcert community. |
Come sostituire la radice CAcert Classe 1 firmata MD-5 con la radice CAcert Classe 1 firmata SHA256
I principali browser non accettano certificati (inclusi quelli autofirmati root) firmati utilizzando l' algoritmo MD-5, dopo il 20161231. La ragione è che oggi l' algoritmo MD-5 non è più considerato sicuro. Questo è anche il motivo per sostituirlo con il certificato di radice CAcert firmato da SHA256.
Sfondo
Il certificato di radice SHA256 firmato da CAcert è molto simile al certificato di radice MD-5 firmato da CAcert, per quanto riguarda i problemi tecnici. Le principali differenze tra la radice di Classe 1 firmata SHA256 e la radice di Classe 1 firmata MD-5 sono le seguenti:
- naturalmente l' algoritmo di firma: SHA256 invece di MD-5,
- numero di serie: 00000F invece di 00000000,
- SHA-1 impronta digitale: dd: fc: da: da: 54:1e: 75:77: ad: dc: a8:7e: 88:88:27: a9:8a: 50:60:60:32:52: a5 (invece di 13:5C: EC: 36: F4: F4:9C: B8: B8: E9:3B: 1A: B2:70: CD: 80:88:46:76:1A: B2:70.
La procedura
In breve: la sostituzione è possibile, semplice e senza problemi sia per i sistemi operativi che per i browser. Il processo di sostituzione è assolutamente semplice come 1-2-3:
- Scaricare e salvare il file root SHA256 firmato CAcert Class 1. Selezionare il formato utilizzato dal sistema o dal browser.
- Importare il root scaricato nel proprio sistema operativo o browser (ad esempio, utilizzare l' utilità di sistema o Certificate Manager incorporato).
- Eliminare la radice precedente MD-5 firmata CAcert Classe 1. Controllare prima il numero di serie 00000000.
È stato dimostrato che la procedura di sostituzione non nuoce. Non è necessario modificare o reinstallare la radice CAcert di Classe 3 o qualsiasi certificato emesso da CAcert, in quanto sono già firmati SHA256. I sistemi (Linux, Windows) e i browser (Firefox) sono ancora in grado di creare le catene di certificati necessarie.
La procedura, se le radici sono state installate dal pacchetto MSI per MS Windows
- Se si sono installate le radici CAcert usando il pacchetto MSI, occorre prima disinstallarle usando lo stesso pacchetto CAcert_Root_Certificates. msi (o il nuovo, CAcert_Root_Certificates_256. msi). Se non si ricorda la procedura dell' installazione precedente, eseguire il pacchetto (con _256 nel suo nome). se mostra tre possibilità standard (cambio, riparazione, disinstallazione) premere Disinstalla. Se viene visualizzata la finestra di dialogo di errore (senza testo, pulsanti Sì/No), premere Sì.
- Al termine della disinstallazione, eseguire il nuovo pacchetto CAcert_Root_Certificates_256. msi, confermare il contratto di licenza e installare le radici. Di nuovo, se appare la finestra di dialogo "Errore", premere Sì.
La procedura per il Kleopatra in Linux
Il programma Kleopatra elimina il certificato radice con l' intera stringa di certificato. Non consente quindi la sostituzione diretta del vecchio certificato di radice. È necessario seguire questa procedura:
Esportare tutti i certificati, rilasciati a voi, in file di tipo <hash>. pem
- Eliminare il certificato di origine CAcert (MD-5 firmato). In questo modo si eliminano anche tutte le stringhe di certificato, ossia il certificato CAcert Class3 e tutti i certificati (è possibile eseguire backup dal passaggio 1).
- Importare il certificato di origine CAcert CAcert Class1 SHA256 firmato con il numero di serie 0F (root_256. crt) e impostarlo in modo affidabile.
- Importare il certificato CAcert intermedio di classe 3 (classe 3. crt).
- Importare tutti i certificati rilasciati all' utente che sono stati esportati nel passaggio 1.