- Anzeigen -


Sie sind hier: Home » Markt » Kommentare & Meinungen

Lebensdauer von SHA-1 begrenzt


Todesstoß für SHA-1? – zu früh für Panik, aber Zeit zum Handeln
Für Verschlüsselungsexperten ist die Sache klar: SHA-1 ist tot

- Anzeigen -





Von Udo Schneider, Pressesprecher beim japanischen IT-Sicherheitsanbieter Trend Micro

Durch den erfolgreichen Angriff von Google und CWI ist die Sicherheit oder Unsicherheit des Hash-Algorithmus zur sicheren Signatur von Inhalten "SHA-1" in aller Munde. Manche Publikationen sprechen sogar reißerisch von dessen "Todesstoß". Doch was technisch möglich ist, stellt sich deshalb noch lange nicht als wirtschaftlich sinnvoll heraus. Ja, jetzt steht zwar endgültig fest, dass die Lebensdauer von SHA-1 begrenzt ist. Dennoch liegt kein Grund zur Panik vor. Vielmehr gilt es jetzt, eine nüchterne Risikoanalyse anzustellen und auf deren Basis den Umstieg auf stärkere Hash-Algorithmen zu planen. Je nach Risikoprofil kann und darf sich das durchaus auf Jahre erstrecken.

Für Verschlüsselungsexperten ist die Sache klar: SHA-1 ist tot. Wenn sich ein Algorithmus mittels eines einzigen Grafikprozessors (GPU) in einem Zeitraum von 110 Jahren und zu Kosten von 110.000 US-Dollar kompromittieren lässt, dann ist diesem Algorithmus nicht mehr zu vertrauen. Und tatsächlich ist die Gefahr für Unternehmen groß und unter Umständen existenzgefährdend, wenn vertraulichen Informationen oder Kundendaten nicht mehr vertraut werden kann, weil sich – wie von Google und CWI gezeigt – für verschiedene Inhalte auf Basis von SHA-1 ein und derselbe Hash-Wert erzeugen lässt. Durch einen solchen Kollisionsangriff wäre Manipulationen Tür und Tor geöffnet.

Und sicher lässt sich die Zeit für die Erzeugung eines identischen Hash-Wertes noch weiter verkürzen, wenn mehr Rechenressourcen aufgewendet werden. Doch um diese Bedrohung zu einem einträglichen Geschäft für Cyberkriminelle zu machen, bedarf es erst noch massiver Kostensenkungen. Und die werden noch einige Zeit auf sich warten lassen. Daher wäre Panikmache zum gegenwärtigen Zeitpunkt fehl am Platz, da mit breiten Angriffswellen auf SHA-1 nicht unmittelbar zu rechnen ist.

Risikoprofile erstellen
Auf der anderen Seite wäre es freilich falsch, daraus den Schluss zu ziehen, man könne weiterhin die Hände in den Schoß legen – wie 2005, als chinesische Forscher die Zahl der Rechenoperationen zur Erzeugung eines Kollisionsangriffs auf SHA-1 von 280 auf 263 reduzieren konnten.

Denn aufgrund des sich jetzt abzeichnenden Kostenaufwands könnte ein gezielter Angriff abhängig vom Wert des Zieles ab sofort in den Bereich des Möglichen gerückt sein. Unternehmen und Behörden sind daher gut beraten, ihr Risikomanagement auf den neuesten Stand zu bringen und dahingehend zu befragen, in welchem Zeithorizont die verschiedenen Systeme je nach Risikoprofil auf einen stärkeren Hash-Algorithmus wie zum Beispiel SHA256 oder SHA512 umgestellt werden müssen. Für hochsensible Bereiche mag da bereits unmittelbarer Handlungsbedarf bestehen.

Das ist das Gute an der Arbeit von Kryptographieexperten, wenn sie Algorithmen erfolgreich brechen: Sie geben uns dadurch den nötigen Denkanstoß und die nötige Zeit, um in Ruhe und nüchtern kalkulierend geeignete Gegenmaßnahmen einzuleiten – Zeit, die wir zum Nachdenken, Planen und Handeln nutzen sollten, und eben nicht für blinde Panik.
(Trend Micro: ra)

eingetragen: 10.03.17
Home & Newsletterlauf: 17.03.17


Trend Micro: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Kommentare und Meinungen

  • CEO & Co. als Zielscheibe von Cyberkriminellen

    Die Wellen in Politik und Presse schlagen hoch, wenn persönliche Daten von Personen des öffentlichen Lebens böswillig exponiert werden. Das zeigt gerade eindrücklich der Datenleak Hunderter deutscher Politiker, Journalisten und Prominenten. Doch auch in Unternehmen herrscht beim Umgang mit sensiblen Daten oft eine gefährliche Mischung aus Unwissenheit und sträflicher Ignoranz. Anders lässt sich der enorme Umfang an sensiblen Daten im Netz nicht erklären.

  • PKI: Einzige Möglichkeit, Chaos zu kontrollieren

    In der jüngeren Vergangenheit wuchs unter IT-Fach- und Führungskräften die Überzeugung, dass Public Key Infrastruktur (PKI) eine veraltete Technologie und damit überflüssig sei. Ganz im Gegenteil, meinen die IT-Sicherheitsexperten der PSW Group, denn in Zeiten, in denen die Cloud, DevOps, IoT und Blockchain immer mehr an Bedeutung gewinnen, werden stärkere Sicherheitsvorkehrungen benötigt. Die PKI ist eine Sicherheitsinfrastruktur, die dazu dient, Services für den sicheren Datenaustausch zwischen den Anwendern bereitzustellen. Durch die PKI lassen sich digitale Zertifikate bereitstellen, verteilen sowie prüfen. Weiter kann die Zugehörigkeit von Public Keys sowie die Echtheit der Zertifikate zuverlässig bestätigt werden.

  • Anzahl potenzieller Ziele steigt exponentiell

    Cyberangriffe auf Unternehmen entwickeln sich immer mehr zum größten Geschäftsrisiko in den heutigen Industrienationen. Zu diesem Schluss kommt die aktuelle Studie "Regional Risks for Doing Business" des World Economic Forum. Dabei wurden mehr als 12.000 Geschäftsleute in mehr als 140 Ländern nach den Geschäftsrisiken für Unternehmen befragt. Weltweit verunsichern Themen wir Arbeitslosigkeit und politische Risiken die Geschäftswelt. Doch von den 19 Staaten, die Cyberangriffe als größte Bedrohung betrachten, liegen 14 in Europa und Nordamerika.

  • Zugriff auf sensibelste Daten

    Der wirksame Schutz privilegierter Konten und Zugriffsrechte gewinnt in Unternehmen immer mehr an Bedeutung, nicht zuletzt, seit die Analysten von Gartner Privileged Account Management, oder kurz PAM, zur Top-Priorität für CIOs im Jahr 2018 erklärt haben. Dass die eindringliche Mahnung, Konten mit weitreichenden Rechten - dazu zählen u.a. Administrator- Server- oder Datenbank-Accounts - dringend besser zu verwalten und schützen, dabei nicht aus nicht Luft gegriffen ist, zeigen Sicherheitsvorfälle wie der aktuelle Datendiebstahl beim französischen Baukonzern Ingérop.

  • eco: Deutschland braucht die Bundesblockchain

    Die Blockchain-Technologie hat das Potenzial, die Verwaltung nachhaltig zu verändern: "Volle Transparenz gewährleisten und gleichzeitig Bürgerdaten und Privatsphäre schützen, das ist mit der Blockchain nun technisch möglich", sagt Taavi Kotka im Rahmen einer Veranstaltung des eco Verbands. Der ehemalige CIO Estlands hat die Digitalisierung des baltischen Staates maßgeblich gestaltet. Das entkräfte mögliche Ausreden von Verantwortlichen, die die Digitalisierung der Verwaltung bislang möglicherweise aufgeschoben hatten. "Die Menschen nehmen staatliche Stellen zukünftig immer stärker als Dienstleister wahr, von denen sie Services ohne große bürokratische Hürden erwarten." Es werde sogar zu einem Wettbewerb der Nationen kommen, beispielsweise um hochqualifizierte Fachkräfte aus dem Ausland. "Den werden diejenigen gewinnen, die Services digital einfacher und effizienter anbieten können", sagt Kotka. Eine Modernisierung und Digitalisierung der Verwaltungsprozesse sei daher eine notwendige Investition in die wirtschaftliche Zukunft des Landes.