Original-URL des Artikels: https://www.golem.de/news/sha-1-eigene-empfehlungen-nicht-gelesen-1402-104388.html    Veröffentlicht: 05.02.2014 15:13    Kurz-URL: https://glm.io/104388

SHA-1

Eigene Empfehlungen nicht gelesen

Nach Empfehlungen der US-Behörde Nist darf der Hash-Algorithmus SHA-1 für digitale Signaturen 2014 nicht mehr genutzt werden, das Nist hielt sich aber selbst nicht daran. Auch das BSI kennt offenbar seine eigenen Empfehlungen in Sachen Hash-Funktionen nicht.

Der kryptographische Hash-Algorithmus SHA-1 gilt eigentlich seit 2005 als nicht mehr sonderlich sicher. Damals konnten chinesische Forscher um die Kryptographin Wang Xiaoyun zeigen, dass das Verfahren gegen sogenannte Kollisionsangriffe verwundbar ist. Der Angriff wurde zwar nur theoretisch beschrieben, doch für Angreifer mit großen finanziellen Ressourcen wäre er auch praktisch durchführbar. Bis heute wird SHA-1 jedoch an vielen Stellen eingesetzt.

Nist: SHA-1 nur bis 2013 erlaubt

Die US-Behörde Nist (National Institute of Standards and Technology) hat daher schon seit einiger Zeit Empfehlungen herausgegeben, die darauf hinwirken sollen, die Verwendung von SHA-1 zu beenden. In den Empfehlungen wird klar gesagt, dass die Nutzung von SHA-1 in digitalen Signaturen eigentlich schon Ende 2010 beendet werden sollte. In einer Übergangsphase bis 2013 war die Nutzung weiterhin erlaubt, der Algorithmus wurde jedoch als veraltet ("deprecated") eingestuft. Nach 2013 ist die Nutzung für neue Signaturen untersagt, Zertifikate mit vor 2014 ausgestellten Signaturen dürfen jedoch weiter genutzt werden.

Die Webseite Netcraft berichtete gestern, dass sich das Nist offenbar selbst nicht an seine Empfehlungen hält. Die Webseite des Nist nutzte für HTTPS-Verbindungen ein Zertifikat, das erst kürzlich - am 23. Januar - ausgestellt wurde. Die Signatur unter dem Zertifikat wurde mit dem RSA-Algorithmus und SHA-1 erstellt. Das Nist hat auf den Bericht von Netcraft schnell reagiert: Nur wenige Stunden später wurde das Zertifikat ersetzt und ist nun mit dem als sicher geltenden SHA-256 signiert.

BSI strenger als das Nist

Ähnliche Probleme wie das Nist hat offenbar auch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das BSI ist in Sachen SHA-1 sogar deutlich strenger als die US-Behörde. In einer älteren Stellungnahme gegenüber der Bundesnetzagentur von 2006 heißt es, dass SHA-1 nur bis Ende 2010 für die Erstellung von Zertifikaten als geeignet angesehen wird. Diese Haltung schlägt sich auch im aktuellen Algorithmenkatalog der Bundesnetzagentur nieder, der in erster Linie für digitale Signaturen nach dem Signaturgesetz gilt und für andere Anwendungszwecke nur empfehlenden Charakter hat.

Doch das Zertifikat auf der Webseite des BSI ist ebenfalls nur mit SHA-1 signiert. Es wurde von der Firma TC Trustcenter im Jahr 2012 ausgestellt. Auch der jüngst vom BSI bereitgestellte Sicherheitstest im Zusammenhang mit dem Botnetz-Angriff nutzt ein im Dezember 2013 von der Telekom-Tochter Telesec ausgestelltes Zertifikat mit einer SHA-1-Signatur. Nach den Nist-Empfehlungen könnten diese Zertifikate noch genutzt werden, doch nach den strengeren Maßstäben des BSI hätten diese nie genutzt werden dürfen.

Microsoft macht Druck

Laut Netcraft nutzen noch etwa 98 Prozent der HTTPS-Webseiten Zertifikate mit SHA-1-Signaturen. Die Betreiber von Webseiten haben nur indirekt Einfluss darauf, welcher Signaturalgorithmus hier zum Einsatz kommt, denn sie kaufen ihre Zertifikate von den in den gängigen Browsern unterstützten Zertifizierungsstellen. Fast alle Zertifizierungsstellen setzen noch auf SHA-1, doch das dürfte sich in Kürze ändern. Microsoft hat im vergangenen Jahr erklärt, dass es von allen Zertifizierungsstellen erwartet, bis spätestens 2016 auf SHA-1-Signaturen zu verzichten. Zertifizierungsstellen, die das nicht umsetzen, müssen damit rechnen, in Windows aus der Liste der vertrauenswürdigen Zertifizierungsstellen entfernt zu werden.

Kompatibilitätsprobleme mit den neueren Algorithmen gibt es kaum. Alle großen Browser unterstützen Signaturen mit den SHA-2-Algorithmen wie SHA-256 und SHA-512 schon seit langer Zeit. Lediglich der Internet Explorer auf Windows-XP-Systemen, auf denen das Service Pack 3 nicht installiert wurde, hat damit ein Problem. Laut Netcraft könnte damit die Einführung von SHA-256-Zertifikaten sogar einen weiteren indirekten Sicherheitsgewinn bieten: Nutzer von Windows XP-Installationen, die schon lange keine Updates mehr installiert haben, wären gezwungen, ihr System zu aktualisieren.

Kaum SHA-256-Signaturen

Eine der wenigen Zertifizierungsstellen, bei der Kunden bereits heute Zertifikate mit SHA-256-Signaturen erhalten können, ist StartSSL, ein Service der israelischen Firma Startcom. Diese Zertifizierungsstelle ist bei vielen Nutzern beliebt, da dort einfache Zertifikate kostenlos erstellt werden können. Die communitybasierte Zertifizierungsstelle CAcert nutzt seit kurzem SHA-512 für Signaturen, jedoch werden CAcert-Zertifikate von den gängigen Browsern nicht akzeptiert.

Die Schwächen von SHA-1 beziehen sich bislang nur auf sogenannte Kollisionsangriffe. Ob diese ein Problem für die Sicherheit von Verfahren sind, hängt davon ab, in welchem Kontext SHA-1 zum Einsatz kommt. So nutzen beispielsweise TLS-Verbindungen häufig noch SHA-1 im Zusammenhang mit dem HMAC-Verfahren zur Authentifizierung von Datenpaketen, doch das ist unproblematisch, denn hier würde nur eine sogenannte Preimage-Attacke Probleme bereiten. Ein Preimage-Angriff ist bei SHA-1 jedoch in absehbarer Zeit nicht zu erwarten.

Hash-Schwäche von Flame-Virus ausgenutzt

Welche Probleme Kollisionsangriffe bei Hash-Verfahren bereiten, konnte man in der Vergangenheit beim Algorithmus MD5 beobachten. Bereits 1996 konnte der deutsche Informatikprofessor Hans Dobbertin Schwächen in MD5 zeigen, 2004 gelang es dann Wang Xiaoyun, dies zu einem praktischen Kollisionsangriff auszuweiten. 2008 präsentierte ein Team von Forschern auf dem 25C3 ein gefälschtes Root-Zertifikat der Zertifizierungsstelle RapidSSL. Das war jedoch nur deshalb möglich, weil RapidSSL noch einige andere Fehler bei der Erstellung von Zertifikaten machte. Im Jahr 2012 wurde der Flame-Virus entdeckt, der die Schwäche von MD5 ausnutzte, um ein unter Windows gültiges Code-Zertifikat zu erstellen.

Wir haben das BSI um eine Stellungnahme gebeten, bisher jedoch keine Antwort hierauf erhalten.  (hab)


Verwandte Artikel:
Browser: Microsoft deaktiviert SHA-1-Support in Edge   
(15.05.2017, https://glm.io/127830 )
Zertifikate: Google wirft Wosign und Startcom endgültig raus   
(10.07.2017, https://glm.io/128830 )
Kryptographie: OpenSSH rüstet auf   
(17.01.2014, https://glm.io/103988 )
Bundeshack: Hack auf Bundesregierung erfolgte über Lernplattform Ilias   
(08.03.2018, https://glm.io/133227 )
APT28: Behörden untersuchen Angriff auf Regierungsnetzwerk   
(28.02.2018, https://glm.io/133063 )

© 1997–2019 Golem.de, https://www.golem.de/