SHA1の廃止は内部CAにどのように影響しますか？
MS/CHROMEからのSHA1非推奨通知は、信頼できるパブリックルートプログラムの一部である証明書にのみ適用されると聞いています。これにより、IEには、パブリックCAによって発行された証明書とは対照的に内部CAによって発行された証明書を区別できるようにする新しいロジックが組み込まれ、安全であると見なされたサイトに安全ではないとフラグを立てないことが信じられます。 SHA1内部？
したがって、ブラウザーがすべてのSHA1証明書に安全でないとフラグを付ける場合、信頼できるルートストアに証明書のSHA1レガシーコピーをフォールバックとして残しておくのは無意味です。 SHA2を使用できず、警告を気にしないレガシープラットフォームの接続を単純に行う場合を除きます。
考え？
Microsoftは、しばらくの間ロジックを備えてきました。
既定では、Microsoft Trusted Root Programからのトラストアンカーの下位である証明書は、下位にSHA1署名がある場合、締切日以降は信頼されません。ローカルにインストールされたトラストアンカーの下位であるSHA1証明書は、引き続き信頼されます。これは、証明書の処理にMicrosoftの組み込みCAPIを使用するすべてのアプリケーションに当てはまります。これには、Internet Explorerおよびそれ以降のバージョンのChromeが含まれます。
Mozillaトラストアンカーが内部またはMozilla Trusted Root Programの一部であるかどうかに関係なく、CAPIを使用しないため、Firefoxブラウザーで独自の処理を行うことを決定し、SHA1証明書の信頼を停止しました。
すべてのトラストアンカーは、デジタル署名されているためではなく、ユーザー（またはブラウザー/ OS開発者）がトラストアンカーストアに明示的に配置したため信頼されます。したがって、トラストアンカー証明書にSHA512、SHA1、MD4のいずれの署名が含まれているかに関係なく、署名は証明書の信頼やセキュリティを暗示するために使用されません。
彼らがこれについて話すとき、証明書パスの検証に制限はないと思いますが、Public Trusted Rootプログラムで受け入れられるCAには制限があります。 CAを使用するものは受け入れられなくなります。したがって、それらはシステムにインストールされているデフォルトのものから削除されます。信頼できるリストに必要なCA（パブリックの信頼されたルートプログラムから削除されるCAを含む）を追加でき、すべてのCAが検証され、等しく信頼されます。
SHA1ベースのパス検証を回避することでSHA1を本当に非推奨にした場合、それはおそらくすべてのCAに同等に影響を与えるでしょう。