- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Tage von SHA-1 sind gezählt


Das Ende naht: Viele Browser entziehen SHA-1 SSL-Zertifikaten in Kürze ihr Vertrauen
Es hat lange gedauert, bis es zu der Ablehnung von SHA-1 kam

- Anzeigen -





Der Secure Hash Algorithm SHA-1, der dafür sorgt, die Integrität von SSL-Zertifikaten sicherzustellen, war einst eines der am weitesten verbreiteten SSL-Zertifikate. Er gilt allerdings schon seit längerem als veraltet und gilt als Ursache für mehrere prominente Websiten-Hacks, so dass seine Tage nun wohl tatsächlich gezählt sind. Apple, Microsoft, Google und Mozilla haben nähere Informationen dazu bekannt gegeben, wann ihre Browser Webseiten mit SHA-1 SSL-Zertifikaten nicht mehr als vertrauenswürdig einstufen.

>> Google Chrome: Mit der neuen Version 56 wird Chrome SHA-1 SSL-Zertifikate ab Januar 2017 nicht mehr vertrauen und informiert die Anwender durch eine Sicherheitswarnung.

>> Mozilla Firefox: Auch mit der neuen Version Firefox 51 im Januar 2017 zeigt der Browser bei jeder Seite, die immer noch SHA-1 verwendet, an: "Keine vertrauenswürdige Verbindung".

>> Apple Safari: Es liegt noch kein genaues Datum vor, wann Apple offiziell SHA-1-Zertifikaten nicht mehr vertraut. Die letzten Versionshinweise für MacOS empfehlen dringend, Webseiten mit SHA-1 so schnell wie möglich zu meiden. Die Sierra-Version des Browsers zeigt mittlerweile nicht mehr das grüne Vorhängeschloss, das auf eine vertrauenswürdige Webseite hinweist.

>> Microsoft Internet Explorer and Edge: Webseiten, die zum Start des neuen Browser am 14. Februar 2017 immer noch SHA-1 verwenden, werden einfach nicht mehr geladen. Anwender können aber nach einer Warnung entscheiden, ob sie die Webseite aufrufen wollen

"In vielen dieser Fälle sollte allerdings beachtet werden, dass manuell installierte oder selbst signierte Zertifikate weiterhin unterstützt werden", so Michael Veit, IT-Sicherheitsexperte bei Sophos.

Es hat lange gedauert, bis es zu der Ablehnung von SHA-1 kam. Fast alle Webseiten vertrauen seit langer Zeit auf SHA-1-Zertifikaten für ihre SSL-Verschlüsselung. Weil sie allerdings so weit verbreitet sind, können sie auch leicht gehackt werden und sind so ein beliebtes Ziel von Passwort-Hackern. Webseiten, die Passwörter der Anwender mit SHA-1 ausgeben, machen es Hackern besonders einfach: Wie kürzlich bei Naked Security berichtet, kann ein Password Cracking Server jede mögliche Passwort-Variante mit SHA-1 innerhalb einer Stunde ermitteln. SHA-1 stand in Verbindung mit vielen Sicherheitsvorfällen in der Vergangenheit, wie zum Beispiel bei LinkedIn oder LivingSocial.

Die Forderung, SHA-1 nicht mehr zu verwenden, geht bereits auf das Jahr 2005 zurück. 2012 hat das National Institute of Standards and Technology (NIST) seine Sicherheitsrichtlinien Special Publication 800-57 aktualisiert und empfahl die Aufhebung von SHA-1 als Standard. Doch erst als Google 2014 mitteilte, Webseiten aktiv zu ahnden, die SHA-1 nach 2016 verwenden, bewegte sich etwas – auch bei den Leuten, bei denen die Botschaft bis dahin noch nicht durchgedrungen war.

Heute nehmen die meisten Webseiten die Warnungen ernst. Mozilla schätzt, dass nur noch weniger als ein Prozent aller Webseiten SHA-1 SSL nutzen, andere Zahlen sehen das bedeutend unentspannter und gehen von einem Drittel aller Webseiten aus. Wie auch immer, die Tage von SHA-1 sind gezählt und Betreiber sollten aktiv werden. (Sophos: ra)

eingetragen: 18.12.16
Home & Newsletterlauf: 10.01.17


Avast Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Schutz vor digitalen Attacken: Zehn Tipps

    Modern vernetzte Häuser bergen Risiken - ungeschütztes WLAN kann gehackt werden, was gefährliche Folgen haben kann. Es wird vor allem dann gefährlich, wenn das Haus mit vielen, mit dem "Internet der Dinge" (IoT) verbundenen Geräten ausgestattet ist. Eines dieser Geräte zu hacken, würde es Kriminellen ermöglichen, Zugriff auf das gesamte Netzwerk zu erhalten und intelligente Geräte zu steuern. Identitätsdiebstahl kann dann zur Übernahme von Bankkonten, Sozialversicherungsnummern oder anderen privaten Daten führen. Einige Methoden, die normalerweise dazu genutzt werden, Netzwerkprobleme zu erkennen und zu lösen, können in den Händen von Verbrechern zu mächtigen und leicht zu nutzenden Hacking-Werkeugen werden. "Sniffing" beispielsweise, ist eine Methode, die das Netzwerk täuscht, damit es Daten zuerst an den Computer des Hackers sendet und so Daten eines Netzwerkes sichtbar macht.

  • Hackerangriffe werden immer raffinierter

    Die Anzahl von Cyber-Attacken steigt ebenso rasant wie deren Variantenreichtum: Egal ob Phishing-Links, die Weiten des Darknets oder Malware - Hackerangriffe werden immer raffinierter, ihre Folgen immer schwerwiegender. Unternehmen stehen vor großen Herausforderungen, entsprechende Maßnahmen zu treffen und ihre Daten zu schützen. Im Expertentipp gibt Björn Blatt, Geschäftsführer der readypartner GmbH und Experte für Digital-Strategie und digitale Wirtschaft sowie Spezialist für Cloud- und Kommunikationsservices, Tipps, wie Unternehmen sich und ihre Daten vor Cyber-Attacken bewahren.

  • Tipps für eine bessere Sicherheit des Smart Home

    Sophos präsentiert gemeinsam mit Koramis Ergebnisse des Forschungsprojekts "Haunted House". Aktuelle Zahlen zeigen mehr als 70.000 Zugriffsversuche von 24.089 einzelnen IPS auf das virtuelle Haus. Hiermit wird deutlich: Das Haunted House ist kein einmaliges Geisterphänomen sondern eine dauerhafte Gefahr für private Smart Homes - sofern diese nicht fachgerecht eingerichtet sind. Und dies ist nur die eine Seite des Spuks: Parallel zu den Zugriffsversuchen auf das "Haunted House" erforscht das Projekt mithilfe von Suchmaschinen wie Shodan oder Cenys auch, wie viele Smart Home Komponenten mehr oder weniger einfach über das Internet zugänglich sind. Ein im Oktober hierfür gestarteter Scan fand bis heute mehr als 68.000 offene Web-Schnittstellen von bekannten Smart-Home-Komponenten, die vor allem in Privathaushalten eingesetzt werden.

  • TLS-Verschlüsselung keine Herausforderung

    Die Sicherheitslücke "KRACK" in der WPA2-Verschlüsselung bei WLAN-Verbindungen in aller Munde. Sie führt dazu, dass Angreifer potentiell den Datenverkehr mitlesen und neue Daten einstreuen können. Allgemeine Gefahren und Sicherheitsanweisungen für Privatnutzer werden breit diskutiert, unbeachtet bleiben dagegen bisher die speziellen Gefahren, die KRACK für Unternehmen mit sich bringt. Die Aufklärung zur Sicherheitslücke KRACK bezieht sich insbesondere auf Themen wie Onlinebanking und Onlineshopping. Es wird geraten, beim Surfen im Internet nur verschlüsselte Verbindungen mit dem kleinen Schlosssymbol in der Browserzeile und HTTPS statt HTTP zu nutzen. Damit ist eine Ende-zu-Ende-Verschlüsselung unabhängig von der WLAN-Verbindung umgesetzt.

  • Sicherheitsrisiken minimieren

    Eine nachlässig gepflegte IT-Infrastruktur macht es Hackern leicht, an wichtige Firmendaten zu kommen. Der weltweit agierende Sicherheitsspezialist Trustwave verrät, welche neun Arbeitsschritte jedes Unternehmen durchführen sollte, um Sicherheitsrisiken auf ein Minimum zu reduzieren und Eindringlinge so schnell wie möglich aufzuspüren. Im Regelfall ist es für Cyberkriminelle ein Leichtes, Malware und andere Schadprogramme ins Netzwerk einzuschleusen. Schuld an Datenpannen sind oft ungepatchte Anwendungen, schwache Passwörter oder Mitarbeiter, die auf eine Phishing-Nachricht hereinfallen. Es gibt aber ausreichend Möglichkeiten, die Sicherheitsrisiken zu minimieren.