概念验证

Question

带有 SHA2 的 SSL 在 Windows XP SP2 及以下版本中不起作用。如果网站带有带有 sha2 的 SSL，则无法打开。它需要 SP3 及以上版本。那么除了完全安装 SP3 之外，还有其他修补程序或文件可以解决这个问题吗？

Answer 1

概念验证

您可能知道，Windows XP SP3 是不再支持。通过运行 XP SP2 或更早版本，您缺少许多修复以及一些新功能。无论哪种方式，尽可能计划切换到受支持的操作系统。如果需要，您仍然可以在独立的环境中运行 XP，虚拟机没有网络访问。

如果你因为某种原因而无法使用 XP，请考虑至少将其更新到 SP3 并安装所有后续发布的更新，以减少攻击面尽可能多地更新。确保任何第三方软件也是最新的。

回到实际问题，SHA-2在 Windows XP SP3 之前，有些有限的引入了支持。微软没有将更改移植到早期版本，获得相同结果的唯一方法是用较新的版本替换主要加密库（即crypt32.dll和rsaenh.dll）。无法保证最终的弗兰肯斯坦版会按预期工作，并且很容易产生副作用。最后，安装 SP3是正确的做法。

以下步骤是在未安装服务包的全新 Windows XP 安装上运行的，但未进行任何扩展测试。它们仅用于演示目的，也一样不是将以下内容视为解决方案 - 特别是在生产环境中：

1. 下载以下更新。请确保选择与您的系统匹配的语言：

   • 面向 IT 专业人员和开发人员的 Windows XP Service Pack 3 网络安装包
   • Windows XP 安全更新 (KB2868626)
     
     

2. 使用管理员帐户登录。打开命令提示符并运行以下命令：

   cd /d "X:\Folder\containing\updates"
   for /r %G in (*kb*.exe) do start "%~G" /wait "%~fG" /x:"%temp%\Extracted" /q
   expand "%temp%\Extracted\i386\rsaenh.dl_" "%userprofile%\Desktop\rsaenh.dll"
   copy "%temp%\Extracted\SP3QFE\crypt32.dll" "%userprofile%\Desktop"
   rd /s /q "%temp%\Extracted"
   

   以下是相关美国英语文件的基本详细信息和哈希值：

   File:    crypt32.dll
   Size:    589 KiB (603136 bytes)
   Version: 5.131.2600.6459
   ---
   CRC32:   af117a68
   MD5:     636df3ff20a1b69b3f9d21325e7115c7
   SHA1:    c6872705bb48b1f199ee98ac166ebf7be6721bb3
   SHA256:  6b38cf96e92273995f40b6d7029d20b4041342d6edd5b6ca73967a401823d4f5
   
   File:    rsaenh.dll
   Size:    203.5 KiB (208384 bytes)
   Version: 5.1.2600.5507
   ---
   CRC32:   3d3e2e74
   MD5:     54dae3ea34802b4ed9ae1c6b1209fa56
   SHA1:    8e8dd9db03ed502d915dee9e4f9fd3f10593e27c
   SHA256:  eeb1fa90db44c821b371d5f7c323b4f88e843107bba16da2acb124d6a848b257 
   

3. 使用较新的副本替换文件夹中的文件System32，例如使用 Linux Live 发行版。继续操作之前，请备份原始文件。

4. 重新启动 Windows，并尝试一些测试页面：

   • Symantec SHA256 SSL 页面
   • COMODO RSA/SHA-256 测试站点

截图

前

后

单击可查看大图。

进一步阅读

• SHA2 和 Windows
• 高级安全概念（标准 2009）
• Microsoft 根证书计划弃用 SHA-1 哈希算法

Answer 2

简短的回答是：“不”。

长答案：“不，不是真的 - XP 是一个过时、不稳定且不安全的操作系统，请切换到较新的版本。”

资料来源：

• http://support.microsoft.com/kb/968730/
• http://blogs.technet.com/b/pki/archive/2010/09/30/sha2-and-windows.aspx
• http://www.digicert.com/sha-2-ssl-certificates.htm

还 ：

• http://windows.microsoft.com/en-us/eos

现在是时候继续前进了。如果你拒绝跟上发展的步伐，你就会落后，很快就会承受后果——就你而言，这已经发生了。在未来的某个时候，你将不得不断开装有 XP 的机器与互联网的连接，否则它会立即被接管/崩溃/发生更糟糕的事情

如果你喜欢 XP那您仍然可以在虚拟机中使用它 - 但请在使用时停用虚拟网卡 - 这是一个非常不错但完全免费的 VM 软件：https://www.virtualbox.org/

Answer 3

是的，试试旧版更新它被设计用来修复此类问题。