Google Chrome zukünftig ohne SHA-1

Von Host-Europe habe ich letzte Woche eine E-Mail bekommen, die mich auf diesen Umstand hinweist und mir genau beschreibt, was ich für die kostenlose Erneuerung meines Zertifikates tun muß.
So muß das sein, Lob an HE!

Gruß
Ingo

So sieht jetzt mein Server bei Host-Europe aus. Das sollte erstmal sicher genug sein. :-)

Habe nicht nur das Zertifikat erneuert, sondern auch gleich noch die SSL-Konfiguration angepaßt, z.B. SSLv3 rausgeschmissen und die sicheren Cipher-Suites priorisiert.

War alles in Allem eine knappe halbe Stunde Arbeit, die sich aber gelohnt hat.

Gruß
Ingo

Das SHA-1 gebrochen wurde, ist ja mittlerweile schon fast 10 Jahre her. Ich muß aber immer wieder staunen, wie viele große Hoster immer noch ein Zertifikate mit SHA1 Checksumme einsetzen. Ich habe manchmal das Gefühl, das etliche frei nach dem Motto agieren "Hauptsache es funktioniert" :(. Ich finde diesen Schritt, den Google hier geht, nicht schlecht. Evtl. werden ja dann einige dazu bewegt, endlich mal auf z.B. SHA-2 umzustellen.

Wobei man auch bedenken sollte, daß die technische Möglichkeite, einen Hash-Algorithmus zu knacken, nicht auch bedeutet, daß es praktisch verwendet werden kann.

Im Falle der Signatur für ein Zertifikat dürfte es kaum möglich sein, einen "Zwilling" mit sinnvollen Daten zu erzeugen.

Gruß
Ingo

Die Malware Flame hat genau das gemacht.

Zitat

Flame was signed with a fraudulent certificate purportedly from the Microsoft Enforced Licensing Intermediate PCA certificate authority ... A successful collision attack against a certificate was previously demonstrated in 2008, but Flame implemented a new variation of the chosen-prefix collision attack.

Zitat

Windows XP User mit IE habe ich im übrigen schon lange ausgesperrt :wink:

Na toll, danke mm! 8)