<p dir="ltr">TLS 1</p>
<br><div class="gmail_quote">On Thu, 7 May 2015 11:37┬áJon Ribbens <<a href="mailto:jon%2Bukcrypto@unequivocal.co.uk">jon+ukcrypto@unequivocal.co.uk</a>> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">On Wed, May 06, 2015 at 11:48:06PM +0100, Melanie Dymond Harper wrote:<br>
> > From: Jon Ribbens <<a href="mailto:jon%2Bukcrypto@unequivocal.co.uk" target="_blank">jon+ukcrypto@unequivocal.co.uk</a>><br>
> > The Chrome alert is because the certificate is using an SHA1 hash,<br>
> > and as of fairly recently, Chrome has started to complain mildly about<br>
> > this because it is considered weak but it is not completely broken.<br>
><br>
> For once Chrome isn't complaining about this aspect, because while it is<br>
> an SHA-1 cert, it expires in 2015 and thus isn't covered by Chrome's<br>
> complaints about such certs -- they are distrusting SHA-1 certs (or<br>
> certs involving a SHA-1 intermediate in their chain) which expire on or<br>
> after 1/1/2016. This time it's complaining about something<br>
> algorithm/cipher related, and I really wish they would be more explicit<br>
> about exactly the problem was in each case; I have spent a significant<br>
> amount of support time dealing with this sort of question lately...<br>
<br>
For <a href="http://securebank.cahoot.com" target="_blank">securebank.cahoot.com</a>, the certificate expires 14th May 2016 so<br>
SHA1 *is* what Chrome is complaining about. For <a href="http://www.cahoot.com" target="_blank">www.cahoot.com</a>, the<br>
cryptography is particularly rubbish given that it's using MD5 and<br>
RC4, but as you say the expiry is in 2015 and what Chrome is actually<br>
complaining about is that the page mixes content from http and https<br>
sources.<br>
<br>
</blockquote></div>