SHA-1 알고리즘으로 서명된 JAR은 이제 기본적으로 제한되며 Java SE 17에서 서명되지 않은 것처럼 처리됩니다. 이는 JAR을 요약하고, 서명하고, 선택적으로 시간소인을 지정하는 데 사용되는 알고리즘에 적용합니다. 또한 코드 서명자 및 시간소인 발행 당국(TSA)의 인증서 체인에 있는 인증서의 서명 및 요약 알고리즘과, 이러한 인증서가 취소되었는지 확인하는 데 사용되는 모든 CRL 또는 OCSP 응답에도 적용됩니다.
이 정책에는 이전에 시간소인이 지정된 애플리케이션에 대한 호환성 위험을 줄이거나 개인용 CA를 사용하기 위한 두 가지 예외가 있습니다.
이러한 예외는 향후 JDK 릴리스에서 제거될 수 있습니다.
SHA-1은 더 이상 안전한 것으로 간주되지 않으며 사용되지 않아야 합니다. 사용자는 자체 책임 하에 java.security 구성 파일을 수정(또는 java.security.properties 시스템 특성을 사용하여 대체)하고 jdk.certpath.disabledAlgorithms 보안 특성에서 SHA1 jdkCA & usage SignedJAR & denyAfter 2019-01-01 및 jdk.jar.disabledAlgorithms 보안 특성에서 SHA1 jdkCA& denyAfter 2019-01-01을 제거하여 이러한 제한사항을 제거할 수 있습니다.
이 제한사항에 대한 자세한 정보는 SHA-1 서명 JAR 사용 안함을 참조하십시오.