Abo
  • Services:

SHA-1: Eigene Empfehlungen nicht gelesen

Nach Empfehlungen der US-Behörde Nist darf der Hash-Algorithmus SHA-1 für digitale Signaturen 2014 nicht mehr genutzt werden, das Nist hielt sich aber selbst nicht daran. Auch das BSI kennt offenbar seine eigenen Empfehlungen in Sachen Hash-Funktionen nicht.

Artikel veröffentlicht am , Hanno Böck
SHA-1-Signatur im Zertifikat der BSI-Webseite
SHA-1-Signatur im Zertifikat der BSI-Webseite (Bild: OpenSSL/Screenshot: Golem.de)

Der kryptographische Hash-Algorithmus SHA-1 gilt eigentlich seit 2005 als nicht mehr sonderlich sicher. Damals konnten chinesische Forscher um die Kryptographin Wang Xiaoyun zeigen, dass das Verfahren gegen sogenannte Kollisionsangriffe verwundbar ist. Der Angriff wurde zwar nur theoretisch beschrieben, doch für Angreifer mit großen finanziellen Ressourcen wäre er auch praktisch durchführbar. Bis heute wird SHA-1 jedoch an vielen Stellen eingesetzt.

Nist: SHA-1 nur bis 2013 erlaubt

Inhalt:
  1. SHA-1: Eigene Empfehlungen nicht gelesen
  2. Microsoft macht Druck

Die US-Behörde Nist (National Institute of Standards and Technology) hat daher schon seit einiger Zeit Empfehlungen herausgegeben, die darauf hinwirken sollen, die Verwendung von SHA-1 zu beenden. In den Empfehlungen wird klar gesagt, dass die Nutzung von SHA-1 in digitalen Signaturen eigentlich schon Ende 2010 beendet werden sollte. In einer Übergangsphase bis 2013 war die Nutzung weiterhin erlaubt, der Algorithmus wurde jedoch als veraltet ("deprecated") eingestuft. Nach 2013 ist die Nutzung für neue Signaturen untersagt, Zertifikate mit vor 2014 ausgestellten Signaturen dürfen jedoch weiter genutzt werden.

Die Webseite Netcraft berichtete gestern, dass sich das Nist offenbar selbst nicht an seine Empfehlungen hält. Die Webseite des Nist nutzte für HTTPS-Verbindungen ein Zertifikat, das erst kürzlich - am 23. Januar - ausgestellt wurde. Die Signatur unter dem Zertifikat wurde mit dem RSA-Algorithmus und SHA-1 erstellt. Das Nist hat auf den Bericht von Netcraft schnell reagiert: Nur wenige Stunden später wurde das Zertifikat ersetzt und ist nun mit dem als sicher geltenden SHA-256 signiert.

BSI strenger als das Nist

Ähnliche Probleme wie das Nist hat offenbar auch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das BSI ist in Sachen SHA-1 sogar deutlich strenger als die US-Behörde. In einer älteren Stellungnahme gegenüber der Bundesnetzagentur von 2006 heißt es, dass SHA-1 nur bis Ende 2010 für die Erstellung von Zertifikaten als geeignet angesehen wird. Diese Haltung schlägt sich auch im aktuellen Algorithmenkatalog der Bundesnetzagentur nieder, der in erster Linie für digitale Signaturen nach dem Signaturgesetz gilt und für andere Anwendungszwecke nur empfehlenden Charakter hat.

Stellenmarkt
  1. Versicherungskammer Bayern, Saarbrücken
  2. Scheidt & Bachmann GmbH, Mönchengladbach bei Düsseldorf

Doch das Zertifikat auf der Webseite des BSI ist ebenfalls nur mit SHA-1 signiert. Es wurde von der Firma TC Trustcenter im Jahr 2012 ausgestellt. Auch der jüngst vom BSI bereitgestellte Sicherheitstest im Zusammenhang mit dem Botnetz-Angriff nutzt ein im Dezember 2013 von der Telekom-Tochter Telesec ausgestelltes Zertifikat mit einer SHA-1-Signatur. Nach den Nist-Empfehlungen könnten diese Zertifikate noch genutzt werden, doch nach den strengeren Maßstäben des BSI hätten diese nie genutzt werden dürfen.

Microsoft macht Druck 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. 79,90€ + 5,99€ Versand (Vergleichspreis ca. 116€)
  2. 55,11€ (Bestpreis!)
  3. (aktuell u. a. Seagate Expansion+ Desktop 4 TB für 88€, Seagate Backup Plus Hub 6 TB für...
  4. 17,49€

das_ist_unglaub... 28. Feb 2014

Wüsstest du wovon du sprichst dann hättest du nichts gesagt weil du dann verstanden...

das_ist_unglaub... 28. Feb 2014

Nö, in der Realität musst du nur *ein* CA-Zertifikat erzeugen mit dem du dann...

Baron Münchhausen. 06. Feb 2014

Bitte zuende lesen! Es heißt: 2008 präsentierte ein Team von Forschern auf dem 20C3 eine...

Hannes_bln 05. Feb 2014

http://lists.gnupg.org/pipermail/gnupg-users/2012-July/044945.html


Folgen Sie uns
       


Golem.de ist Kratos - God of War (Live, keine Spoiler)

Die Handlung verraten wir nicht, trotzdem wollen wir das andersartige neue God of War besprechen. Zu diesem Zweck haben wir eine stellvertretende Mission herausgesucht, in der es nicht um die primäre Handlung geht. Ziel ist es, den Open-World-Ansatz zu zeigen, das Kampfsystem zu erklären und die Spielmechaniken zu verdeutlichen.

Golem.de ist Kratos - God of War (Live, keine Spoiler) Video aufrufen
Razer Nommo Chroma im Test: Blinkt viel, klingt weniger
Razer Nommo Chroma im Test
Blinkt viel, klingt weniger

Wenn die Razer Nommo Chroma eines sind, dann auffällig. Dafür sorgen die ungewöhnliche Form und die LED-Ringe, die sich beliebig konfigurieren lassen. Die Lautsprecher sind aber eher ein Hingucker als ein Hinhörer.
Ein Test von Oliver Nickel

  1. Razer Kiyo und Seiren X im Test Nicht professionell, aber schnell im Einsatz
  2. Stereolautsprecher Razer Nommo "Sind das Haartrockner?"
  3. Nextbit Cloud-Speicher für Robin-Smartphone wird abgeschaltet

P20 Pro im Kameratest: Huaweis Dreifach-Kamera schlägt die Konkurrenz
P20 Pro im Kameratest
Huaweis Dreifach-Kamera schlägt die Konkurrenz

Mit dem P20 Pro will Huawei sich an die Spitze der Smartphone-Kameras katapultieren. Im Vergleich mit der aktuellen Konkurrenz zeigt sich, dass das P20 Pro tatsächlich über eine sehr gute Kamera verfügt: Die KI-Funktionen können unerfahrenen Nutzern zudem das Fotografieren erleichtern.
Ein Test von Tobias Költzsch

  1. Android Huawei präsentiert drei neue Smartphones ab 120 Euro
  2. Wie Samsung Huawei soll noch für dieses Jahr faltbares Smartphone planen
  3. Porsche Design Mate RS Huawei bringt 512-GByte-Smartphone für 2.100 Euro

HP Z2 Mini Workstation G3 im Test: Leises Rauschen hinterm Monitor
HP Z2 Mini Workstation G3 im Test
Leises Rauschen hinterm Monitor

Unterm Tisch, auf dem Tisch oder hinter den Bildschirm geklemmt: HPs Z2 Mini Workstation ist ein potentes, wenn auch nicht gerade sehr preiswertes Komplettsystem. Den Preis ist der PC aber wert, denn er ist leise, modular und kann einfach gewartet werden. Der Admin dankt!
Ein Test von Oliver Nickel

  1. HP Pavilion Gaming Hardware für Gamer, die sich Omen nicht leisten wollen
  2. Chromebook x2 HP präsentiert Chrome-OS-Detachable mit Stift
  3. Laserjet Pro M15w und M28w HPs Laserdrucker schrumpfen auf 34 Zentimeter Länge

    •  /