Abo
  • Services:

Chrome: Zertifizierungsstellen auf SHA-1-Ende nicht vorbereitet

Google hat seine Pläne zur Abschaffung von SHA-1-Signaturen konkretisiert. Trotz langjähriger Warnungen gibt es noch Tausende Zertifikate mit SHA-1-Signaturen, die bald Probleme bekommen werden.

Artikel veröffentlicht am , Hanno Böck
Chrome geht bald verschärft gegen SHA-1-signierte Zertifikate vor.
Chrome geht bald verschärft gegen SHA-1-signierte Zertifikate vor. (Bild: Google)

Google hat in einem Blogeintrag erläutert, wie der Chrome-Browser künftig mit Zertifikaten umgeht, deren Signatur mit dem problematischen Hash-Algorithmus SHA-1 erstellt wurden. Überraschend kommt das nicht: Bereits vor einigen Wochen hatte Google-Entwickler Ryan Sleevi entsprechende Pläne der Chrome-Entwickler bekanntgegeben. Die Umstellung beginnt im September mit der Version 39.

Stellenmarkt
  1. Bosch Gruppe, Stuttgart
  2. beauty alliance Deutschland GmbH & Co. KG, Bielefeld

Zertifikate, die bis 2017 gültig sind, werden demnach weiterhin akzeptiert, der Browser wird jedoch bei HTTPS-Verbindungen ein gelbes Warnsymbol anzeigen. Mit der Version 40 im November wird das Ganze verschärft: Dann werden solche Zertifikate mit Gültigkeit bis 2017 überhaupt kein Sicherheitssymbol mehr angezeigt bekommen - die Verbindungen sehen aus wie bei einer unverschlüsselten HTTP-Seite. Zertifikate, die bis 2016 gültig sind, werden ab dann mit dem gelben Warnsymbol versehen. Anfang 2015 mit der Version 41 werden dann Zertifikate, die bis 2017 gültig sind, ein rotes Warnsymbol erhalten.

Bereits 2011 hatte das CA/Browser-Forum Richtlinien für eine Abschaffung von SHA-1 vorgelegt. Doch obwohl die Zertifizierungsstellen selbst an diesen Richtlinien mitgearbeitet haben, wurden sie von den meisten ignoriert. Bereits im vergangenen Jahr hat Microsoft angekündigt, 2017 die SHA-1-Unterstützung einzustellen.

Google-Entwickler Adam Langley hat auf der Webseite Hacker News einige Statistiken zu problematischen Zertifikaten bereitgestellt. Demnach gibt es immer noch Zehntausende Zertifikate, die über 2017 hinaus gültig und mit SHA-1 signiert sind. Die meisten davon stammen von Globalsign, an zweiter Stelle kommt Godaddy.

Webseitenbetreiber, deren Zertifikate mit SHA-1 signiert sind, sollten sich bald um neue Zertifikate kümmern, auch wenn die aktuellen Zertifikate noch für längere Zeit gültig sind. Kompatibilitätsprobleme mit dem besseren Algorithmus SHA-256 gibt es kaum. Lediglich alte Windows XP-Installationen, auf denen das Service Pack 3 nicht installiert wurde, haben ein Problem mit SHA-256.

Warnungen davor, dass SHA-1 nicht mehr als sicher angesehen werden sollte, gab es bereits 2004. Beim älteren Hash-Algorithmus MD5 taten sich die Zertifizierungsstellen ebenfalls schwer mit der Abschaffung. Sie warteten so lange, bis es einem Forscherteam gelang, praktisch einen Angriff zu zeigen, bei dem eine gefälschte Unter-Zertifizierungsstelle erzeugt werden konnte.



Anzeige
Hardware-Angebote
  1. 23,99€

hannob (golem.de) 09. Sep 2014

Es gibt hunderte Zertifikatsanbieter und noch mehr Reseller. Realistischerweise können...

Tautologiker 08. Sep 2014

Das ist in dieser Absolutheit Bullshit. Guck mal hier auf die Gültigkeitsdaten der Root...

Lord LASER 08. Sep 2014

Die Entscheidung für Keccak fiel 2012. Standardisiert ist es noch nicht. Es gibt von...

bofhl 08. Sep 2014

Ausgestellt haben diese Zertifikatsaussteller schon SHA-2 signierte Zertifikate, blos...

Anonymer Nutzer 07. Sep 2014

RC4-SHA um mal etwas konkreter zu werden.


Folgen Sie uns
       


MTG Arena Ravnica Allegiance - Livestream 1

Im ersten Teil unseres Livestreams erklären wir alle neuen Mechaniken von Ravnica Allegiance.

MTG Arena Ravnica Allegiance - Livestream 1 Video aufrufen
Asana-Gründer im Gespräch: Die Konkurrenz wird es schwer haben, zu uns aufzuschließen
Asana-Gründer im Gespräch
"Die Konkurrenz wird es schwer haben, zu uns aufzuschließen"

Asana ist aktuell recht erfolgreich im Bereich Business-Software - zahlreiche große Unternehmen arbeiten mit der Organisationssuite. Für Mitgründer Justin Rosenstein geht es aber nicht nur ums Geld, sondern auch um die Unternehmenskultur - nicht nur bei Asana selbst.
Ein Interview von Tobias Költzsch


    Radeon VII im Test: Die Grafikkarte für Videospeicher-Liebhaber
    Radeon VII im Test
    Die Grafikkarte für Videospeicher-Liebhaber

    Höherer Preis, ähnliche Performance und doppelt so viel Videospeicher wie die Geforce RTX 2080: AMDs Radeon VII ist eine primär technisch spannende Grafikkarte. Bei Energie-Effizienz und Lautheit bleibt sie chancenlos, die 16 GByte Videospeicher sind eher ein Nischen-Bonus.
    Ein Test von Marc Sauter und Sebastian Grüner

    1. Grafikkarte UEFI-Firmware lässt Radeon VII schneller booten
    2. AMD Radeon VII tritt mit PCIe Gen3 und geringer DP-Rate an
    3. Radeon Instinct MI60 AMD hat erste Grafikkarte mit 7 nm und PCIe 4.0

    Karma-Spyware: Wie US-Auftragsspione beliebige iPhones hackten
    Karma-Spyware
    Wie US-Auftragsspione beliebige iPhones hackten

    Eine Spionageabteilung im Auftrag der Vereinigten Arabischen Emirate soll die iPhones von Aktivisten, Diplomaten und ausländischen Regierungschefs gehackt haben. Das Tool sei wie Weihnachten gewesen, sagte eine frühere NSA-Mitarbeiterin und Ex-Kollegin von Edward Snowden.
    Ein Bericht von Friedhelm Greis

    1. Update O2-Nutzer berichten über eSIM-Ausfälle beim iPhone
    2. Apple iPhone 11 soll Trio-Kamerasystem erhalten
    3. iPhone mit eSIM im Test Endlich Dual-SIM auf dem iPhone

      •  /