Categories: SicherheitUnternehmen

Microsoft rät von Verwendung des Hashing-Verfahren SHA-1 ab

Die Hash-Funktion SHA-1 sollen Kunden Microsoft zufolge nicht mehr in kryptographischen Anwendungen wie SSL/TLS-Verschlüsselung und Code-Signierung verwenden. Ab 1. Januar 2016 will das Unternehmen keine Zertifikate mehr akzeptieren, die den Algorithmus noch immer einsetzen, das kündigte es in einem Security Advisory an.

Nur noch SHA-2-Zertifikate können dann Zertifizierungsstellen, die sich am Windows Root Certificate Program beteiligen, ausstellen. Microsoft empfiehlt Verbrauchern bereits jetzt, SHA-2-Zertifikate von den Zertifizierungsstellen zu verlangen.

In 98 Prozent aller weltweit ausgestellten Zertifikate kommt Microsoft zufolge SHA-1 zum Einsatz. Der Algorithmus ist allerdings anfällig gegen Kollisionsangriffe und erfüllt damit nicht mehr die grundlegenden Sicherheitsstandards, das hätten Forscher seit 2005 herausgefunden. Bezüglich Angriffen gegen Hashing-Algorithmen sei ein Angriffsmuster zu erkennen, das wesentliche Auswirkungen in der Praxis erwarten lässt.

“Die Grundursache des Problems ist eine bekannte Schwäche des SHA-1-Hashing-Algorithmus, die ihn Kollisionsangriffen aussetzt”, heißt es im Advisory FAQ. “Solche Angriffe könnten einem Angreifer erlauben, zusätzliche Zertifikate zu generieren, die über die gleiche digitale Signatur wie ein Original verfügen.” Bei einem Kollisionsangriff wird versucht, zwei verschiedene Dokumente zu ermitteln, die auf einen identischen Hashwert führen.

“Wenn der Hashing-Algorithmus SHA-1 in digitalen Zertifikaten genutzt wird, könnte das einem Angreifer erlauben, Inhalte zu spoofen und Phishing-Angriffe sowie Man-in-the-Middle-Attacken auszuführen”, warnt Microsoft weiterhin. Eine ähnliche Entwicklung, wie sie zuvor bereits bei MD5 zu beobachten war, deuteten die bisher bekannt gewordenen Angriffe auf SHA-1 an.

Die US-Standardisierungsbehörde NIST (National Institute of Standards and Technology), die den Algorithmus veröffentlicht hatte, gab schon im September 2012 die Empfehlung an US-Bundesbehörden aus, auf den weiteren Einsatz von SHA-1 zu verzichten. Das Australian Signals Directorate (ASD) empfahl Regierungsbehörden seit Dezember 2011 den Wechsel zu SHA-2.

Bereits im September 2012 gab die US-Standardisierungsbehörde NIST (National Institute of Standards and Technology), die den Algorithmus veröffentlicht hatte, die Empfehlung an US-Bundesbehörden aus, SHA-1 nicht mehr einzusetzen. Seit Dezember 2011 empfahl das Australian Signals Directorate (ASD) Regierungsbehörden den Wechsel auf SHA-2.

[mit Material von Bernd Kling, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Andre Borbe

Andre ist Jahrgang 1983 und unterstützte von September 2013 bis September 2015 die Redaktion von silicon.de als Volontär. Erste Erfahrungen sammelte er als Werkstudent in den Redaktionen von GMX und web.de. Anschließend absolvierte er ein redaktionelles Praktikum bei Weka Media Publishing. Andre hat erfolgreich ein Studium in politischen Wissenschaften an der Hochschule für Politik in München abgeschlossen. Privat interessiert er sich für Sport, Filme und Computerspiele. Aber die größte Leidenschaft ist die Fotografie.

Recent Posts

Samsung meldet erstmals seit drei Jahren Gewinnrückgang

Der operative Profit soll um mehr als 30 Prozent einbrechen. Die Nachfrage nach Speicherchips sowie…

4 Stunden ago

Klimasimulation mit Künstlicher Intelligenz

Forscher der TU München und des Potsdamer Institut für Klimafolgenforschung setzen zur Verbesserung der Klimamodellierung…

4 Stunden ago

Mit 5G ohne Fahrer im Auto auf die Straße

Teleoperiertes Auto von MIRA fährt in Köln zum ersten Mal öffentlich vor Publikum.

4 Stunden ago

Wie die EU für Security Skills sorgen will

Ohne die richtige Strategie kann der Fachkräftemangel in der Cybersicherheit nicht gemindert werden. Die EU…

5 Stunden ago

Wie KI die Bearbeitung von Kfz-Schadenfällen beschleunigt

Eine Machine-Learning-Lösung verkürzt den Prozess den Bearbeitung bei carexpert KFZ-Sachverständigen signifikant

20 Stunden ago

Microsoft weitet Verteilung von Windows 11 Version 22H2 aus

Alle Nutzer erhalten das Update nun nach einer manuellen Suche. Es gibt allerdings noch zwei…

1 Tag ago