Abo
  • Services:

Chrome: Zertifizierungsstellen auf SHA-1-Ende nicht vorbereitet

Google hat seine Pläne zur Abschaffung von SHA-1-Signaturen konkretisiert. Trotz langjähriger Warnungen gibt es noch Tausende Zertifikate mit SHA-1-Signaturen, die bald Probleme bekommen werden.

Artikel veröffentlicht am , Hanno Böck
Chrome geht bald verschärft gegen SHA-1-signierte Zertifikate vor.
Chrome geht bald verschärft gegen SHA-1-signierte Zertifikate vor. (Bild: Google)

Google hat in einem Blogeintrag erläutert, wie der Chrome-Browser künftig mit Zertifikaten umgeht, deren Signatur mit dem problematischen Hash-Algorithmus SHA-1 erstellt wurden. Überraschend kommt das nicht: Bereits vor einigen Wochen hatte Google-Entwickler Ryan Sleevi entsprechende Pläne der Chrome-Entwickler bekanntgegeben. Die Umstellung beginnt im September mit der Version 39.

Stellenmarkt
  1. CSL Behring GmbH, Marburg, Hattersheim am Main
  2. Robert Bosch GmbH, Stuttgart

Zertifikate, die bis 2017 gültig sind, werden demnach weiterhin akzeptiert, der Browser wird jedoch bei HTTPS-Verbindungen ein gelbes Warnsymbol anzeigen. Mit der Version 40 im November wird das Ganze verschärft: Dann werden solche Zertifikate mit Gültigkeit bis 2017 überhaupt kein Sicherheitssymbol mehr angezeigt bekommen - die Verbindungen sehen aus wie bei einer unverschlüsselten HTTP-Seite. Zertifikate, die bis 2016 gültig sind, werden ab dann mit dem gelben Warnsymbol versehen. Anfang 2015 mit der Version 41 werden dann Zertifikate, die bis 2017 gültig sind, ein rotes Warnsymbol erhalten.

Bereits 2011 hatte das CA/Browser-Forum Richtlinien für eine Abschaffung von SHA-1 vorgelegt. Doch obwohl die Zertifizierungsstellen selbst an diesen Richtlinien mitgearbeitet haben, wurden sie von den meisten ignoriert. Bereits im vergangenen Jahr hat Microsoft angekündigt, 2017 die SHA-1-Unterstützung einzustellen.

Google-Entwickler Adam Langley hat auf der Webseite Hacker News einige Statistiken zu problematischen Zertifikaten bereitgestellt. Demnach gibt es immer noch Zehntausende Zertifikate, die über 2017 hinaus gültig und mit SHA-1 signiert sind. Die meisten davon stammen von Globalsign, an zweiter Stelle kommt Godaddy.

Webseitenbetreiber, deren Zertifikate mit SHA-1 signiert sind, sollten sich bald um neue Zertifikate kümmern, auch wenn die aktuellen Zertifikate noch für längere Zeit gültig sind. Kompatibilitätsprobleme mit dem besseren Algorithmus SHA-256 gibt es kaum. Lediglich alte Windows XP-Installationen, auf denen das Service Pack 3 nicht installiert wurde, haben ein Problem mit SHA-256.

Warnungen davor, dass SHA-1 nicht mehr als sicher angesehen werden sollte, gab es bereits 2004. Beim älteren Hash-Algorithmus MD5 taten sich die Zertifizierungsstellen ebenfalls schwer mit der Abschaffung. Sie warteten so lange, bis es einem Forscherteam gelang, praktisch einen Angriff zu zeigen, bei dem eine gefälschte Unter-Zertifizierungsstelle erzeugt werden konnte.



Anzeige
Top-Angebote
  1. (u. a. TV-Angebote von Sony, LG und Philips)
  2. 129€ (Bestpreis!)
  3. 259,90€ + Versand (Bestpreis!)
  4. 299€ + Versand (Bestpreis!)

hannob (golem.de) 09. Sep 2014

Es gibt hunderte Zertifikatsanbieter und noch mehr Reseller. Realistischerweise können...

Tautologiker 08. Sep 2014

Das ist in dieser Absolutheit Bullshit. Guck mal hier auf die Gültigkeitsdaten der Root...

Lord LASER 08. Sep 2014

Die Entscheidung für Keccak fiel 2012. Standardisiert ist es noch nicht. Es gibt von...

bofhl 08. Sep 2014

Ausgestellt haben diese Zertifikatsaussteller schon SHA-2 signierte Zertifikate, blos...

Anonymer Nutzer 07. Sep 2014

RC4-SHA um mal etwas konkreter zu werden.


Folgen Sie uns
       


Smartphone-Kameras im Vergleich

Wir haben die Fotoqualität von sechs aktuellen Top-Smartphones verglichen.

Smartphone-Kameras im Vergleich Video aufrufen
Apple Mac Mini (Late 2018) im Test: Tolles teures Teil - aber für wen?
Apple Mac Mini (Late 2018) im Test
Tolles teures Teil - aber für wen?

Der Mac Mini ist ein gutes Gerät, wenngleich der Preis für die Einstiegsvariante von Apple arg hoch angesetzt wurde und mehr Speicher(platz) viel Geld kostet. Für 4K-Videoschnitt eignet sich der Mac Mini nur selten und generell fragen wir uns, wer ihn kaufen soll.
Ein Test von Marc Sauter

  1. Apple Mac Mini wird grau und schnell
  2. Neue Produkte Apple will Mac Mini und Macbook Air neu auflegen

Drahtlos-Headsets im Test: Ohne Kabel spielt sich's angenehmer
Drahtlos-Headsets im Test
Ohne Kabel spielt sich's angenehmer

Sie nerven und verdrehen sich in den Rollen unseres Stuhls: Kabel sind gerade bei Headsets eine Plage. Doch gibt es so viele Produkte, die darauf verzichten können. Wir testen das Alienware AW988, das Audeze Mobius, das Hyperx Cloud Flight und das Razer Nari Ultimate - und haben einen Favoriten.
Ein Test von Oliver Nickel

  1. Sieben Bluetooth-Ohrstöpsel im Test Jabra zeigt Apple, was den Airpods fehlt
  2. Ticpods Free Airpods-Konkurrenten mit Touchbedienung kosten 80 Euro
  3. Bluetooth-Ohrstöpsel im Vergleichstest Apples Airpods lassen hören und staunen

Google Nachtsicht im Test: Starke Nachtaufnahmen mit dem Pixel
Google Nachtsicht im Test
Starke Nachtaufnahmen mit dem Pixel

Gut einen Monat nach der Vorstellung der neuen Pixel-Smartphones hat Google die Kamerafunktion Nachtsicht vorgestellt. Mit dieser lassen sich tolle Nachtaufnahmen machen, die mit denen von Huaweis Nachtmodus vergleichbar sind - und dessen Qualität bei Selbstporträts deutlich übersteigt.
Ein Test von Tobias Költzsch

  1. Pixel 3 Google patcht Probleme mit Speichermanagement
  2. Smartphone Google soll Pixel 3 Lite mit Kopfhörerbuchse planen
  3. Google Dem Pixel 3 XL wächst eine zweite Notch

    •  /