Certificate is Signed Using a Weak Signature Algorithm漏洞解决
漏洞说明
漏洞名称：Certificate is Signed Using a Weak Signature Algorithm (证书使用弱签名算法签署)
风险等级：通常被划分为中危或高危漏洞。
根本原因：该漏洞并非指SSL/TLS协议或密钥本身不安全，而是指X.509证书的数字签名所使用的哈希算法强度不足。许多自签名证书或旧证书默认使用已被破解的SHA-1算法生成签名，攻击者有可能伪造此类签名，从而破坏证书的完整性和可信性。
简单比喻：这就像用一把非常复杂且坚固的锁（RSA密钥）锁门，但锁的认证方式却是一个很容易被复制的简单指纹（SHA-1签名）。漏洞扫描器警告的是“简单指纹”不安全，而不是“锁”本身不安全。
即使您使用的是强大的RSA 4096位密钥，如果签名算法是弱哈希（如SHA-1），扫描器依然会报告此漏洞。
解决方案
解决方案的核心是重新生成自签名证书，并在过程中指定使用安全的强哈希算法（如SHA-256）。以下是详细步骤。
步骤一：重新生成证书（使用强哈希算法）
首先，通过SSH连接到您的服务器，并切换到存放证书的目录（通常为 /etc/nginx/ssl/）。
方案A：同时生成新私钥和新证书（推荐）
此命令会一次性创建新的私钥（.key文件）和新的证书（.crt文件）。
sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 \-sha256 \ # 关键参数：指定使用SHA-256算法-keyout /etc/nginx/ssl/your_domain.key \-out /etc/nginx/ssl/your_domain.crt参数解释：
-newkey rsa:2048: 生成一个新的2048位的RSA私钥。为提高安全性，可使用rsa:4096。-sha256: 最关键的参数，指定使用SHA-256哈希算法进行签名。也可根据需要升级为-sha384或-sha512。-nodes: (No DES) 表示不对生成的私钥进行加密。省略此参数会导致每次启动Nginx都需要输入密码，不利于服务自动重启。-days 365: 设置证书有效期为365天。
执行命令后，根据提示填写相应的证书信息（国家、省份、城市、组织名称等）。对于自签名证书，Common Name 字段可以填写您的服务器域名或IP地址。
方案B：使用现有私钥重新生成证书
如果您希望保留现有的私钥文件，仅重新生成证书，请使用以下命令：
sudo openssl req -x509 -nodes -days 365 \-key /etc/nginx/ssl/your_existing.key \ # 指定您现有的私钥文件-out /etc/nginx/ssl/your_domain.crt \-sha256 # 关键参数：指定使用SHA-256算法步骤二：验证新证书的签名算法
生成完成后，务必验证新证书是否已使用强签名算法。
openssl x509 -in /etc/nginx/ssl/your_domain.crt -text -noout | grep "Signature Algorithm"期望的输出结果：
Signature Algorithm: sha256WithRSAEncryption如果输出中仍然显示 sha1WithRSAEncryption，说明生成过程有误，请返回步骤一确认已正确添加 -sha256 参数。
步骤三：配置NGINX使用新证书
确保您的NGINX配置文件（通常位于 /etc/nginx/sites-available/ 或 /etc/nginx/conf.d/ 目录下）中的 ssl_certificate 和 ssl_certificate_key 指令指向新生成的文件。
server {listen 443 ssl;server_name your_domain.com;# 指向新生成的证书和私钥文件ssl_certificate /etc/nginx/ssl/your_domain.crt;ssl_certificate_key /etc/nginx/ssl/your_domain.key;# ... 其他配置 ...
}步骤四：测试并重启NGINX
测试配置语法：在重启前，务必检查配置文件是否有语法错误。
sudo nginx -t如果输出
syntax is ok和test is successful，则表示配置正确。重新加载NGINX：平滑重载配置，使新证书生效而无需中断服务。
sudo systemctl reload nginx # 适用于Systemd系统
# 或
sudo service nginx reload # 适用于SysVinit系统再次扫描验证：使用您的漏洞扫描工具对服务再次进行扫描，确认“弱签名算法”漏洞已修复。
增强安全性额外建议（可选）
解决此漏洞后，建议您进一步加固NGINX的SSL配置，以防御其他相关漏洞（如弱协议、弱套件）。
在您的NGINX SSL配置中，可以添加以下指令：
server {listen 443 ssl;server_name your_domain.com;ssl_certificate /etc/nginx/ssl/your_domain.crt;ssl_certificate_key /etc/nginx/ssl/your_domain.key;# 禁用老旧不安全的协议，仅允许 TLS 1.2 和 1.3ssl_protocols TLSv1.2 TLSv1.3;# 优先使用服务端推荐的加密套件顺序ssl_prefer_server_ciphers on;# 配置安全且高效的加密套件ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;# 启用HSTS以强制浏览器使用HTTPSadd_header Strict-Transport-Security "max-age=63072000" always;
}修改配置后，别忘了再次执行 sudo nginx -t 和 sudo systemctl reload nginx。
总结
修复“弱签名算法”漏洞是一个简单直接的过程，核心在于使用 openssl 命令生成证书时显式地指定强哈希算法（如SHA-256）。
| 步骤 | 操作 | 核心命令/配置 | |
|---|---|---|---|
| 1 | 重新生成证书 | openssl req ... -sha256 ... | |
| 2 | 验证签名算法 | `openssl x509 ... | grep "Signature"` |
| 3 | 检查NGINX配置 | ssl_certificate, ssl_certificate_key | |
| 4 | 重载NGINX服务 | nginx -t, systemctl reload nginx | |
| (可选) | 5 | 加固SSL配置 | ssl_protocols TLSv1.2 TLSv1.3; |
遵循本指南，您不仅可以快速有效地修复该漏洞，还能显著提升NGINX服务整体的安全性。