Admins aufgepasst: SHA1-Zertifikate vor dem endgültigen Aus

Posted on Posted in Hacker News

Ab Januar 2017 wird es ernst: die großen Browser werden ab dann richtige Fehlermeldungen anzeigen, wenn sie auf Zertifikate treffen, die eine Signatur mit SHA1 aufweisen. Die sind aber immer noch im Einsatz, wie ein Kurztest von heise Security zeigt.

Seit über 10 Jahren ist bekannt, dass das auch für HTTPS-Zertifikate eingesetzteHash-Verfahren SHA1 ernste Sicherheitsprobleme aufweist. Nominell ist jetzt der 1.1.2017 der Stichtag für dessen endgültige Beerdigung – zumindest im Web. Mozilla, Google und Microsoft haben angekündigt, dass sie die Unterstützung dann beenden und den Anwendern im Browser-Fehlermeldungen präsentieren werden, wenn sich eine Web-Seite mit einer SHA1-Signatur ausweist. Doch allein in Deutschland verwenden noch rund 30.000 Server SHA1-Zertifikate für https-Verbindungen.

Mozilla hatte bereits Anfang des Jahres einen Anlauf zur Ächtung von SHA-1genommen, musste dann aber wegen großer Umstellungsprobleme zurückrudern. Einen softeren Umstiegspfad wählte Google. Chrome zeigt bereits jetzt das Schloss-Symbol in der Adresszeile anders an und weist in den Verbindungs-Details auf das Problem mit SHA1 hin; Microsoft entfernt das Schlosssymbol in aktuellen Browser-Versionen. Doch in Zukunft werden alle Browser den Verbindungsaufbau zu einer sicheren HTTPS-URL hart unterbrechen und dem Anwender eine Zertifikatswarnung präsentieren. Das dürfte anders als das zumeist ignorierte Schloss-Symbol zu ernster Verunsicherung bei den Anwendern führen.

Gnadenfrist für Firmen-CAs

Der Umstieg wird nicht scharf zum 1. Januar. erfolgen, sondern mit Browser-Updates in den Wochen und Monaten danach ausgerollt, erklären die Browser-Hersteller einheitlich. Die genaue Timeline ist noch etwas im Fluss, allgemein ist jedoch von Mitte bis Ende Januar beziehungsweise bie Microsoft sogar Februar die Rede. Außerdem wird es zumindest für eine Übergangsfrist Ausnahmen für selbstsignierte und solche Zertifikate geben, die von einer lokalen Firmen-CA ausgestellt wurden. Die harte Linie gilt vorerst nur für Zertifikate von CAs, die mit dem Browser ausgeliefert werden. Wer in der Liste übrigens Apple vermisst: Es war uns bisher nicht möglich, Informationen zu Apples weiterem Vorgehen bezüglich SHA1 aufzutreiben.

Über 1 Million Server betroffen

Ein kurzer Test von heise Security mit Censys zeigte auf, dass Admins da durchaus noch Arbeit bevorsteht. Weltweit sind noch deutlich über 1 Million Zertifikate mit SHA1-Signatur im Einsatz – gezählt haben wir dabei nur die, die von einer offiziellen CA unterschrieben sind. In Deutschland fanden wir immer noch knapp 30.000 aktive HTTPS-Sites mit SHA1-Zertifikaten, darunter sogar solche von Banken und großen Software-Firmen: Das Gros der Treffer entfiel jedoch auf kleine und mittelständische Unternehmen. In aller Regel waren nicht die zentralen Domains betroffen, sondern Unter-Domains etwa von einzelnen Abteilungen oder Projekten. Auffällig viele Webmail- und VPN-Zugänge entschlüpften offenbar der Administration.

Ebenfalls problematisch könnten interne Systeme wie Web-Filter oder AV-Lösungen werden, die TLS-Verbindungen öffnen und dazu on-the-Fly Man-in-the-Middle-Zertifikate erstellen. Dies wird etwas entschärft durch die verlängerte Gnadenfrist für im Browser installierte Firmen-CAs.

Quelle: heise.de

Facebooktwittergoogle_plus