在 Thunderbird 中查看 OpenPGP 密钥的详细信息时，可能会显示一个警告，即该密钥包含不安全的属性。这篇文章解释了该警告的含义。

背景

OpenPGP 使用私钥和公钥，其中包含用户名、电子邮件地址、附加子密钥、有效性和过期信息等属性。密钥的这些属性使用数字签名来证明它们确实是由密钥所有者添加或更改的，而不是由其他人添加的。例如，如果一个密钥所有者更新了 OpenPGP 密钥的到期日属性，该修改涉及一个添加到 OpenPGP 密钥的签名。

数字签名使用加密技术，结合多种算法，以产生一个不容易被伪造的真实性证明。由于计算机随着时间的推移变得更加强大，在过去被认为是安全的算法在今天可能不再被认为是安全的。例如，不再推荐使用 SHA-1 哈希算法，因为可能对该算法进行某些攻击。尽管这个建议是几年前提出的，但一些用户可能没有意识到，仍然使用旧的 OpenPGP 软件或导致使用 SHA-1 的软件配置。

Thunderbird 91.8.0

Thunderbird 91.8.0 和 91.8.1 版本包含一个变化，即根据签名的创建时间，拒绝涉及不安全算法的签名。因此，如果使用 SHA-1 的签名是在 2019 年 1 月中旬之后创建的，则会被拒绝。

在 91.8.0 发布后，比预期更多的用户报告说他们无法再使用受影响的 OpenPGP 密钥。根据我们的分析，SHA-1 涉及所有报告的情况。

Thunderbird 91.9.0

为了留出更多时间从 SHA-1 过渡，Thunderbird 版本 91.9.0 已更改为没有 91.8.0 严格。 在 91.9.0 中，SHA-1 签名将再次适用于 OpenPGP 密钥的属性和密钥撤销的签名。 因此，受影响的用户将能够将他们的密钥与 Thunderbird 一起使用，直到 SHA-1 在未来版本中完全弃用。

但是，像 MD5 这样的其他不安全算法将继续被拒绝。 对于 2019 年 1 月中旬之后创建的电子邮件签名，SHA-1 也将继续被拒绝。

在未来版本的 Thunderbird 中拒绝使用 SHA-1

Thunderbird 的开发者仍然打算在未来完全拒绝在 OpenPGP 密钥中使用 SHA-1，但已经决定需要更多的时间作为过渡期，而且 Thunderbird 也应该实施一些改变以帮助用户完成所需的过渡。如果你正在用 Thunderbird 管理 OpenPGP 密钥，未来的版本将帮助你升级密钥。

其他软件

其他 OpenPGP 软件可能已经根据这些不安全的属性拒绝密钥，或者将来也会这样做。如果你看到你的联系人的公钥有这个警告，你应该要求他们升级他们的密钥，不再使用 SHA-1，或者切换到新的密钥。