Handlungsbedarf: die SHA1 Zertifikate stehen vorm aus

10.11.2016 | Computer, Windows

[Quelle: https://m.heise.de/newsticker/meldung/Admins-aufgepasst-SHA1-Zertifikate-vor-dem-endgueltigen-Aus-3460868.html]

 

Admins aufgepasst: SHA1-Zertifikate vor dem endgültigen Aus

Mittwoch, 12:32
Jürgen Schmidt
Admins aufgepasst: SHA1-Zertifikate vor dem endgültigen Aus
Ab Januar 2017 wird es ernst: die großen Browser werden ab dann richtige Fehlermeldungen anzeigen, wenn sie auf Zertifikate treffen, die eine Signatur mit SHA1 aufweisen. Die sind aber immer noch im Einsatz, wie ein Kurztest von heise Security zeigt.

Seit über 10 Jahren ist bekannt, dass das auch für HTTPS-Zertifikate eingesetzte Hash-Verfahren SHA1 ernste Sicherheitsprobleme aufweist. Nominell ist jetzt der 1.1.2017 der Stichtag für dessen endgültige Beerdigung – zumindest im Web. Mozilla, Google und Microsoft haben angekündigt, dass sie die Unterstützung dann beenden und den Anwendern im Browser-Fehlermeldungen präsentieren werden, wenn sich eine Web-Seite mit einer SHA1-Signatur ausweist. Doch allein in Deutschland verwenden noch rund 30.000 Server SHA1-Zertifikate für https-Verbindungen.

Mozilla hatte bereits Anfang des Jahres einen Anlauf zur Ächtung von SHA-1 genommen, musste dann aber wegen großer Umstellungsprobleme zurückrudern. Einen softeren Umstiegspfad wählte Google. Chrome zeigt bereits jetzt das Schloss-Symbol in der Adresszeile anders an und weist in den Verbindungs-Details auf das Problem mit SHA1 hin; Microsoft entfernt das Schlosssymbol in aktuellen Browser-Versionen. Doch in Zukunft werden alle Browser den Verbindungsaufbau zu einer sicheren HTTPS-URL hart unterbrechen und dem Anwender eine Zertifikatswarnung präsentieren. Das dürfte anders als das zumeist ignorierte Schloss-Symbol zu ernster Verunsicherung bei den Anwendern führen.

Gnadenfrist für Firmen-CAs

Bisher gibt es nur Warnungen — ab Januar wird es ernst: da präsentieren alle Browser Fehlermeldungen, wenn sich eine Web-Seite mit einem SHA-1-Zertifikat ausweist. Bisher gibt es nur Warnungen — ab Januar wird es ernst: da präsentieren alle Browser Fehlermeldungen, wenn sich eine Web-Seite mit einem SHA-1-Zertifikat ausweist. Der Umstieg wird nicht scharf zum 1. Januar. erfolgen, sondern mit Browser-Updates in den Wochen und Monaten danach ausgerollt, erklären die Browser-Hersteller einheitlich. Die genaue Timeline ist noch etwas im Fluss, allgemein ist jedoch von Mitte bis Ende Januar beziehungsweise bie Microsoft sogar Februar die Rede. Außerdem wird es zumindest für eine Übergangsfrist Ausnahmen für selbstsignierte und solche Zertifikate geben, die von einer lokalen Firmen-CA ausgestellt wurden. Die harte Linie gilt vorerst nur für Zertifikate von CAs, die mit dem Browser ausgeliefert werden. Wer in der Liste übrigens Apple vermisst: Es war uns bisher nicht möglich, Informationen zu Apples weiterem Vorgehen bezüglich SHA1 aufzutreiben.

Über 1 Million Server betroffen

Ein kurzer Test von heise Security mit Censys zeigte auf, dass Admins da durchaus noch Arbeit bevorsteht. Weltweit sind noch deutlich über 1 Million Zertifikate mit SHA1-Signatur im Einsatz – gezählt haben wir dabei nur die, die von einer offiziellen CA unterschrieben sind. In Deutschland fanden wir immer noch knapp 30.000 aktive HTTPS-Sites mit SHA1-Zertifikaten, darunter sogar solche von Banken und großen Software-Firmen: Das Gros der Treffer entfiel jedoch auf kleine und mittelständische Unternehmen. In aller Regel waren nicht die zentralen Domains betroffen, sondern Unter-Domains etwa von einzelnen Abteilungen oder Projekten. Auffällig viele Webmail- und VPN-Zugänge entschlüpften offenbar der Administration.

Ebenfalls problematisch könnten interne Systeme wie Web-Filter oder AV-Lösungen werden, die TLS-Verbindungen öffnen und dazu on-the-Fly Man-in-the-Middle-Zertifikate erstellen. Dies wird etwas entschärft durch die verlängerte Gnadenfrist für im Browser installierte Firmen-CAs.

Das heise-Security-Webinar zum Thema TLS/SSL
Das heise-Security-Webinar zum Thema TLS/SSL Admins sollten jedenfalls dieses Jahr noch ihren gesamten Zertifikats-Zoo eingehend untersuchen und alle SHA1-Zertifikate umgehend durch solche mit SHA256 ersetzen. Einen einfachen Test, der auf problematische Zertifikate hinweist, bieten die SSL-Labs von Qualys an. Die Probleme mit SHA1, TLS-Erweiterungen wie HSTS, Public Key Pinning und was uns die bevorstehende Version TLS 1.3 noch so alles beschert, sind übrigens zentrale Punkte meines Webinars zu Mehr als nur Verschlüsseln – SSL/TLS richtig nutzen am nächsten Mittwoch, den 16.November. Es sind noch Plätze frei 😉

Weitere aktuelle Informationen der Hersteller:

Mozilla: Phasing Out SHA-1 on the Public Web
Google: A further update on SHA-1 certificates in Chrome
Microsoft: An update to our SHA-1 deprecation roadmap
(ju)

Software für Ärzte: DATA-AL – Ihre Praxisverwaltungssoftware für 2024

Software für Ärzte gesucht? Data-AL ist eine leicht zu bedienende und im höchsten Maße praxisorientierte Software, die Ärzten mehr Sicherheit, weniger Papier und vor allem eine effizientere Organisation bringt. Die Data-AL Lösung ist auch für Gemeinschaftspraxen und Betriebsärzten geeignet.

Stapelsignatur, Komfortsignatur – Digitale Signaturen im Medizinwesen

Digitale Signaturen: Entdecken Sie die Bedeutung und Anwendung einer digitalen Signatur in der Telematikinfrastruktur für eRezepte und eAU. Erfahren Sie mehr über Einzel-, Stapel- und Komfortsignaturen und wie sie den medizinischen Alltag vereinfachen.

Das eRezept und seine Integration in das Praxisverwaltungssystem von Data-AL

Entdecken Sie auf Netzleiter.net die Integration des eRezepts in Data-AL und wie es die medizinische Praxis modernisiert. Erfahren Sie mehr über die Vorteile digitaler Rezepte für Patienten und medizinisches Fachpersonal, sowie die verschiedenen Arten von digitalen Signaturen, die den Verschreibungsprozess effizienter und sicherer machen.

PDF-Formate: Ein umfassender Leitfaden zu PDF, PDF/A und PDF/X

Ein tiefer Einblick in die verschiedenen PDF-Formate, ihre spezifischen Anwendungen und wie sie die Darstellung und den Austausch von Dokumenten vereinfachen.

Top 10 der beliebtesten deutschen Passwörter 2023

Ein Alptraum für Systemadministratoren: Passwortunsicherheit im HomeOffice-Zeitalter Seit dem Beginn der Pandemie hat die Verschiebung zur Arbeit im HomeOffice neue Angriffspunkte eröffnet, die vielen Unternehmen ernsthafte Sorgen bereiten. Ein wesentlicher...

Die Bedeutung der §75b KBV-Richtlinie: Ein Überblick und Bewertung für Arztpraxen

Erfahren Sie mehr über die §75b KBV-Richtlinie, ihre Auswirkungen auf die IT-Sicherheit in Arztpraxen, MVZ, wie Ihnen Netzleiter helfen kann und die Pro und Kontra Argumente dieser wichtigen Regulierung im Gesundheitswesen

IT-Wartungsverträge: Ihre Investition in stetige Betriebsbereitschaft | Netzleiter

Entdecken Sie den Mehrwert von IT-Wartungsverträgen mit Netzleiter. Unsere Serviceverträge garantieren eine kontinuierliche Betriebsbereitschaft und sorgen für eine optimierte IT-Infrastruktur in Ihrem Unternehmen. Kontakt: 040 20 94 97 67

Die KBV-Richtlinie §75b: Ein umfassender Leitfaden zur IT-Sicherheit in medizinischen Einrichtungen

Entdecken Sie die KBV-Richtlinie §75b, die die IT-Sicherheit in medizinischen Einrichtungen regelt. Erfahren Sie, wie Netzleiter GmbH & Co. KG Ihnen hilft, die Anforderungen dieser Richtlinie zu erfüllen.

Pro und Kontra Argumente zu §75b KBV-Richtlinie

Die Richtlinie §75b des Sozialgesetzbuchs (SGB) V bezieht sich auf die IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung in Deutschland. Die Kassenärztliche Bundesvereinigung (KBV) hat den Auftrag, Anforderungen zur Gewährleistung der...

Effizienter IT-Support durch Netzleiters Technisches Backoffice | Professionelle IT-Lösungen in Hamburg

Erhalten Sie effiziente IT-Service durch unser technisches Backoffice – Ihr zuverlässiger IT-Dienstleister für IT-Support, Infrastruktur, Sicherheit und Wartung. Profitieren Sie von unserer technischen Hotline, unseren Lösungen und einer sehr guten Reaktionszeit für minimale Ausfallzeiten und maximale Kundenzufriedenheit.