Как изменить алгоритм SHA1 на SHA256 в Windows CA

Все уже в курсе, что сертификаты с подписью SHA1 должны быть заменены, т.к. алгоритм SHA1 более не считается надёжным.

Это описано в ноябре 2015 года в статье Microsoft SHA-1 Deprecation Update.

Сейчас появилось дополнение An update to our SHA-1 deprecation roadmap.
Суть в том, что в Microsoft решили ускориться и летом с выходом большого обновления Windows 10 (Anniversary Update) браузеры Internet Explorer и Edge начнут выдавать предупреждение для сайтов с сертификатами, подписанными SHA1, а в феврале 2017 года такие сайты будут блокироваться. Пока заявлено, что блокировка будет распространяться только на сертификаты, чьи корневые сертификаты входят в Microsoft Trusted Root Certificate program. Обновление будет выпущено для Windows 7, Windows 8.1 and Windows 10.

Переходим на SHA256:

1.  На сервере с ролью CA(Certification Authority) проверить текущий используемый алгоритм: certutil -getreg ca\csp\CNGHashAlgorithm 

Если результат выполнения команды SHA256, перейти к шагу 4.

2. По умолчанию результат выполнения команды SHA1.  Необходимо выполнить команду:

certutil -setreg ca\csp\CNGHashAlgorithm SHA256 

Это перенастроит ваш CA на использование SHA256 для CNG хешей.

3.  Перезапустите Certificate Services: 

net stop CertSvc && net start CertSvc

4.  Перевыпишите ваш корневой сертификат:

certutil -renewCert ReuseKeys

5.  Перезапустите службу Certificate Services: 

net stop CertSvc && net start CertSvc

Эти действия сгенерируют новый корневой сертификат вашего CA с использованием SHA256 в качестве алгоритма подписи. Необходимо будет раздань новый сертификат вашим клиентам. http://technet.microsoft.com/en-us/library/cc730763(v=ws.10).aspx