Compatibilité des serveurs avec les certificats signés en SHA256

L’algorithme de hachage SHA256 est utilisé pour la signature des certificats, CSR … et garanti ainsi son unicité. Il n’intervient pas dans le processus de chiffrement / authentification, sinon que l’outil (navigateur, client, serveur, …) doit savoir lire / déchiffrer ce type de hash inscrit dans le certificat lors du processus de connexion / authentification.

• Si vous installez un certificat sha256 sur un client (authentification forte par certificat),
  il faut donc s’assurer que le client (navigateurs, webservices, ...) et le serveur sont compatibles,
  même si le serveur continue à utiliser un certificat signé en SHA1 / MD5.


• Si vous installez un certificat sha256 sur le serveur, alors tous les clients qui se connectent (navigateurs, clients mails, webservices, ...) et le serveur doivent être compatibles avec l'algorithme de hashage SHA256.

Serveurs compatibles avec SHA256

• Serveur Apache (testé avec Apache 2.0.63 et OpenSSL 0.9.7m mais pour une implémentation complète il faut OpenSSL 0.9.8o+).
• Windows Server 2008+
• Windows Vista
• Windows 7
• Windows Server 2003 avec correctif 938397
• Client Windows Server 2003 ou XP avec correctif 968730
• Oracle WebLogic à partir de la version 10.3.1, voir bug8422724
• Oracle Wallet Manager 11.2.0.1+
• IBM HTTP Server avec GSKit 7.0.4.14 ou supérieur
• Websphere avec GSKit 8 ou supérieur
• Serveurs Java : JDK 1.4.2+
• Citrix Netscaler 9.3+
• Citrix Access Gateway v5.0.4+
• Citric Secure Gateway 3.3+
• 4D server 14.01+
• Amazon Web Server (AWS)
• Barracuda Network Access Client 3.5+
• CrushFTP 7.1.0+
• F5 BIG-IP 10.1.0+
• WebSphere MQ 7.0.1.4+
• SonicOS (SonicWall) 5.9.0.0+
• Produits basés sur OpenSSL 0.9.8o+
• Produits basés sur Mozilla NSS 3.8+
• IBM z/OS v1r10+
• IBM Domino 9+ (associé à HTTP 8.5+)
• IBM HTTP (associé à Domino 9+)
• Cisco ASA 5500 8.2.3.9+ pour AnyConnect VPN Sessions
• Cisco ASA 5500 8.4+ pour les autres fonctionnalités
• Load balancer Cisco ACE30 prend bien en charge les certificats SHA-256 à partir de la version logicielle A4 (1.0)
  (testé chez OVH avec une version logicielle A5 (2.2) ).

Doc de référence:

• http://blogs.technet.com/b/pki/archive/2010/09/30/sha2-and-windows.aspx

Serveurs incompatibles avec SHA256

• Citrix Secure Gateway 3.2 ou inférieur
• Citrix Access Gateway
• Citrix Access Essentials version 3
• Juniper SBR
• Citrix Receiver models
• Blackberry 2.2 / BlackBerry 1.0 Tech Preview
• Cisco ACE module software versions A2 et A3
• Windows Serveur 2003 sur lequel n'a pas été installé le correctif 938397 permettant le support du SHA256.
  Voir http://support.microsoft.com/kb/938397
• Windows 2000

Pour aller plus loin

• Tout sur le sha256
• Certificats signés en SHA-256
• Notre offre de certificats SSL SHA-256
• Navigateurs supportant les certificats SHA-256