VeriSign Inc.正在修复MD5哈希算法中发现的漏洞，而这个漏洞可以被攻击者用于创建错误的SSL证书。

　　数字证书是用于在互联网的信任基础架构中证明网站的合法性和安全性的。由七位研究人员组成团队发现的方法可以利用MD5哈希算法中的漏洞构建流氓认证授权，并发布可以被目前的所有的普通网络所信任的数字证书。这些研究人员在十二月三十日柏林的Chaos Communication Congress公布了细节。

　　大部分的认证授权已经不再使用MD5，而改用新的SHA哈希功能。攻击在这种认证授权上不能使用。

　　VeriSign的SSL的产品经理Tim Callan说公司的新商标的RapidSSL证书已经完全转化到更安全的SHA-1算法了。VeriSign说他还将为现有的用户免费更华MD5的证书。

　　Callon在博客中写道：“我们已经确定了我们所售出的所有其它SSL不存在受到这种攻击的漏洞，我们将在2009年一月 在所有的终端实体证书中放弃MD5。”

　　同时，微软也发布了公告，告诉用户它们还没有发现针对MD5的具体的攻击。微软敦促用户和发布认证授权的厂商联系取得指导。

　　微软在公告中说：“新发现的漏洞并不会大幅增加用户的奉献，因为研究人员没有公布攻击的密码北京，而没有这些信息，攻击就不能重复进行。”

　　微软安全相应中心的工程师Damian Hasse说，MD5中的严重漏洞已经在几年前就知道了。Hasse说新的扩展认证证书（Extended Validation certificates）不受漏洞的影响。IE7， Mozilla Firefox和Opera浏览器都支持EV SSL，并以绿色高亮显示解决按钮，确认合法网站。

　　Hasse在微软安全漏洞研究和防御播客中写道：“正是因为这些漏洞，MD5才在微软安全开发周期（Security Development Lifecycle，SDL）的新代码中被禁止了。”

　　Mozilla总部的Johnathan Nightingale建议用户“在浏览要求敏感信息的网站时要谨慎，特别是当使用公共互联网连接的时候。”在Mozilla的安全博客中，Nightingale写道Mozilla正在研究认证授权，确保它们的处理程序已经更新到可以防御这种威胁。