[Prince]

Der Software-Konzern Microsoft hat jetzt ebenfalls Konsequenzen aus den aktuellsten Entwicklungen im Kryptographie-Bereich gezogen und wird demnächst den Hash-Algorithmus SHA-1 in seinen Produkten nicht mehr akzeptieren. Damit folgt das Unternehmen einer ebensolchen Entscheidung von Mozilla.

SHA-Hashes spielen in der verschlüsselten Kommunikation über das Internet eine wichtige Rolle. Grob gesagt, dienen sie der Erstellung eines eindeutigen Prüfwertes, der nicht durch eine andere Ausgangsnachricht entstehen kann. Selbst die kleinste Änderung an dem gehashten Ausgangsmaterial führt hier zu ganz anderen Ergebnissen. Im Fall der SSL/TLS-Verschlüsselung von Web-Inhalten dient dies beispielsweise dazu, die Echtheit eines übertragenen Schlüssels sicherzustellen.

Angriffe auf das Verfahren haben entsprechend das Ziel, so genannte Kollisionen zu erzeugen - hier also einen eigenen SSL-Key zu erzeugen, der den gleichen Hash-Wert aufweist, wie der des jeweiligen Web-Angebotes. Bereits vor zehn Jahren konnten chinesische Informatiker mathematisch eine Methode dazu beschreiben, die dies mit erheblich weniger Aufwand möglich macht. Dies bedeutete im Grunde zwar nur, dass es theoretisch möglich ist, mit einem sehr leistungsstarken Rechner eine Kollision zu erzeugen, doch genügte dies schon, damit SHA-1 nicht mehr als wirklich sicheres Verfahren eingestuft wurde.


100k Dollar für Nachschlüssel
Vor einigen Tagen gelang es dann aber, durch die Verbindung der inzwischen deutlich gestiegenen Rechenleistung und verfeinerten Methoden, Kollisionen mit annehmbaren Zeitaufwand zu erzeugen. Dies bedeutet in der Praxis nun tatsächlich, dass nicht mehr sichergestellt werden kann, dass ein Schlüssel, der dem Browser überreicht wird, auch wirklich vom vorgeblichen Absender stammt. Mit Hilfe der großen Cloud-Dienste ließe sich den Berechnungen zufolge mit dem Kauf von Rechenleistung im Wert von 75.000 bis 120.000 Dollar ein Nachschlüssel erstellen, was sich in einigen Bereichen durchaus lohnen kann. Die schnellen Reaktionen der ersten Browser-Hersteller sind daher nachvollziehbar und lagen vermutlich schon als Notfall-Szenario einige Zeit in den Schubladen.

Microsoft hatte in den Planungen für seine Sicherheits-Systeme der Windows-Plattform ohnehin schon vorgesehen, SHA-1-Hashes ab dem 1. Januar 2017 nicht mehr als Echtheitsnachweis zu akzeptieren. Der Termin wird aufgrund der aktuellen Entwicklung vorgezogen - auch wenn die Anbieter von Web-Diensten noch eine Übergangsfrist erhalten, die für eine Umstellung genutzt werden kann. Ab dem 1. Juni des kommenden Jahres werden entsprechende Schlüssel nicht mehr akzeptiert, teilte das Unternehmen mit.

Kyle Pflug, der bei Microsoft als Program Manager für den Edge-Browser arbeitet, erklärte, dass man die Sache aber in Zusammenarbeit mit anderen Browser-Herstellern im Auge behalten werde. Sollten tatsächlich gefälschte Keys mit SHA-1-Hash in freier Wildbahn auftauchen, könnte es auch zu einer schnelleren Umstellung kommen. Mozilla hatte zuvor angekündigt, entsprechende Zertifikate ab dem 1. Juli 2016 nicht mehr zu akzeptieren. Deutlich stärkere Verfahren stehen mit SHA-2 und SHA-3 schon seit einiger Zeit zur Verfügung.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]