Microsoft publicará en marzo un parche para soportar por defecto SHA-2 en Windows 7 y Windows Server 2008. Será de instalación obligatoria para los usuarios que quieran poder seguir recibiendo actualizaciones del sistema.

Como sabes, Microsoft finalizará el soporte técnico de Windows 7 el 14 de enero de 2020, pero para una parte de usuarios que no suelen utilizar las actualizaciones podría terminar antes si no instalan el parche obligatorio para el sistema.

El motivo es el conjunto de funciones de seguridad hash criptográficas SHA que utiliza Windows para probar la autenticidad. Actualmente soporta dos versiones, SHA-1 y SHA-2, pero el primero ya se ha confirmado altamente inseguro y desfasado desde hace años.

SHA-1 (Secure Hash Algorithm 1) fue diseñado por la NSA y publicada en 1995. Todavía sigue siendo usada a pesar de que no se recomienda, debido a que en 2005 los analistas en criptografía descubrieron fallos teóricos que podrían ser usados para provocar ataques de colisión, permitiendo a los atacantes reemplazar ficheros sin levantar ninguna sospecha.

SHA-1 fue declarado oficialmente obsoleto en otoño de 2015 cuando investigadores de distintas universidades publicaron el informe The SHAppening y a comienzos de 2017, Google anunció que había roto la función criptográfica del hash SHA-1 mediante un ataque de colisión, la obtención de un mismo resultado cifrado cuando se pasan dos valores distintos a cifrar.

Esto provocó que los analistas recomendasen cambiar SHA-1 por versiones más recientes, como SHA-2 y SHA-3. Proveedores de navegadores web como Mozilla, Microsoft y Google empezaron un proceso acelerado para reemplazar SHA-1 como función de hash en los certificados TLS/SSL. En otra información relacionada, Google, Microsoft, Apple y Mozilla, anunciaron una acción combinada para deshabilitar el soporte a TLS 1.0 y TLS 1.1 en Chrome, Edge, Safari y Firefox en 2020.

El anuncio de Microsoft pretende reforzar la seguridad implementando por defecto SHA-2 en varias etapas. Las actualizaciones independientes que incorporan el soporte de firma de código SHA-2 se lanzarán como actualizaciones de seguridad el 12 de marzo, mientras que a partir de julio será obligatorio haber instalado el parche si se quiere recibir nuevas actualizaciones de seguridad en Windows 7 SP1, Windows Server 2008 R2 SP1 y Windows Server 2008 SP2.

Cualquier dispositivo sin soporte SHA-2 no tendrá actualizaciones de Windows a partir de julio de 2019, lo que deberá ser tenido en cuenta por administradores de sistemas y usuarios.

Más información | Microsoft