L’utilisation de SHA-1 est codé en dur dans le code :
http://groups.google.fr/group/mozilla.dev.tech.crypto/msg/7a15dafef963fe20
https://mxr.mozilla.org/comm-central/source/mailnews/extensions/smime/src/nsMsgComposeSecure.cpp#496

Mais le message suivant dit que la couche correct est utilisée ?
http://groups.google.fr/group/mozilla.dev.tech.crypto/msg/c442455aacd7eba7
Soit nsCMSMessage :
http://mxr.mozilla.org/comm-central/ident?i=nsCMSMessage
depuis mozilla/security/manager/ssl/src/nsCMS.cpp ???

A investiguer …