Browser: Microsoft deaktiviert SHA-1-Support in Edge

Microsoft blockiert bei seinen eigenen Browsern Internet Explorer 11 und Edge künftig SHA-1-Zertifikate. Das seit den Neunzigern existierende Verfahren gilt schon seit längerem als unsicher.

Artikel veröffentlicht am 15. Mai 2017, 16:57 Uhr, Oliver Nickel

Microsoft Edge blockiert seit neuestem SHA-1-Zertifikate. (Bild: Microsoft)

Microsofts Browser Edge und dessen Vorgänger Internet Explorer 11, die in verschiedenen Windows-Versionen vorinstalliert sind, unterstützen keine Zertifikate mehr, die mit der Hashfunktion SHA-1 verifiziert werden. Das Unternehmen liefert laut einem Blogbeitrag seit dem 9. Mai 2017 entsprechende Updates aus, die so gesicherte HTTPS-Verbindungen als unsicher deklarieren und den Zugriff blockieren. SHA-1 gilt bereits seit dem Jahr 2005 als knackbar, wird jedoch teilweise weiterhin von Webseiten und Diensten, darunter auch Git, verwendet.

Microsoft ist spät dran

Sowohl Googles Browser Chrome als auch Mozillas Pendant Firefox geben bereits seit längerem eine Fehlerwarnung bei HTTPS-Verbindungen mit SHA-1-Zertifikaten aus. Microsoft reagiert mit seinem Update also relativ spät.

Neben dem automatischen Update von allen betroffenen Windows-Systemen, auf denen IE 11 und Edge laufen, darunter Windows 7, Windows 8, Windows 10, Windows Server 2008, 2012 und 2016, empfiehlt Microsoft Hostern blockierter Webseiten die Umstellung auf das Hash-Verfahren SHA-2 mit einer Bit-Tiefe von 256 oder 512 Bit. Dieses gilt gegen momentan verfügbare Rechenleistungen als ausreichend sicher.

In letzter Zeit war die unsichere Hashfunktion häufiger in den Medien negativ aufgefallen. Im Februar 2017 ist es etwa Wissenschaftlern der Universität Amsterdam in Zusammenarbeit mit Google gelungen, zwei unterschiedliche PDF-Dokumente aus demselben SHA-1-Hash zu erzeugen. Java-Besitzer Oracle hat seit April 2017 den MD5- und SHA-1-Support der verbreiteten Programmiersprache mit einem Patch eingestellt.

Allerdings ist SHA-1 trotz der nachgewiesenen Probleme nicht einfach zu knacken. Google hatte für seinen erfolgreichen Versuch immerhin 6.500 CPU-Jahre und 100 GPU-Jahre für die 160-Bit-Verschlüsselung gebraucht.