• Live chat
  • Facebook
  • Google Plus
  • rss

Az SHA-1 ideje lejárt

×
×
Megjelent: 2017.03.14 Vissza

A böngésző készítők az elmúlt néhány évben versenyt futottak az idővel, hogy az SHA-1-ről átálljanak az SHA-2-re, ugyanis a kutatók arra figyelmeztettek, hogy az ütközés támadások veszélye elméletiből gyakorlati lett. Ez a lépés megvédi a felhasználókat az ilyen támadástól, amikor is kettő vagy több bemenet ugyanazt a hasító értéket generálja.

A szakértők arra figyelmeztetnek, hogy az átállás az SHA-2-re számos mellékhatással jár: nem támogatott alkalmazások, új hardver gondok a rosszul konfigurált eszközök miatt és megbénult hitelkártya feldolgozás, mert a berendezések nem tudnak kommunikálni a támogatás nélküli szerverekkel. Amikor a kutatók átnézték az Alexa egy millió legnépszerűbb weboldalát, hogy megfelelnek-e az SHA-2-nek csak 536 olyat találtak, ami nem felelt meg.

A Doclernet mindig is kiemelt figyelmet fordított a szolgáltatásai biztonságára, ezért ügyfeleink a lehető legnagyobb biztonságban tudhatják adataikat a szervereinken!

Patrick Donahue, a Cloudflare biztonsági technológia termék vezetője, azt mondta:

“A böngésző készítők létrehoztak egy kivételezési eljárást, ami lehetővé teszi a cégeknek, hogy kivételezésért folyamodhassanak, így engedélyezve a CA-knak (certificate authorities), hogy kiadjanak bizonyítványt. A hitelkártya feldolgozás terén ez nem olyan egyszerű, mint egy szoftver frissítés. Ehhez új hitelkártya terminálokat kell kiküldeni, amik támogatják az SHA-2-t.”

2015. vége felé a Facebook biztonsági vezetője, Alex Stamos, azt mondta: 

“Véleményünk szerint nem helyénvaló több tízmillió embertől megtagadni a titkosított internet előnyeit.”

A Facebook konkrétan 2016. Január 1-ben határozta meg az SHA-1 határidejét azon fejlesztők számára, akik az SDK-ját használják, nem úgy, mint amikor kifogásolta az SHA-1 beültetését a weboldalába.

“A webszerver működtetők között a legfőbb indok a kivételre az Internet Explorer támogatása volt a Windows XP alatt (SP3 előtti), ami nem támogatja az SHA-2-t. Az ezzel a követelménnyel rendelkező weboldalak kifejlesztettek egy olyan technikát, ami megengedi nekik, hogy SHA-2 bizonyítványt adjanak a modern böngészőknek, miközben képesek SHA-1 bizonyítványt adni az IE/XP ügyfeleknek” mondta J.C. Jones, a Mozilla titkosítás fejlesztő vezetője.

Amikor egy böngésző elutasít egy SHA-1 bizonyítványt nagyon könnyű meglátni a figyelmeztető üzenetet. Viszont nem ez a helyzet az alkalmazásokkal. Annak ellenére, hogy a Google Android rendszere és az Apple iOS operációs rendszerei már több, mint egy éve támogatják az SHA-2-t, a legtöbb alkalmazás még mindig nem támogatja.

A belső PKI-k sem kivételek

A cégek szintén közvetlen nyomás alatt vannak, hogy frissítsék a belső hardverhez, szoftverekhez és cloud alkalmazásaikhoz használt PKI-jüket. Az egyik ilyen bosszantó dolog az a tény, hogy a bizonyítványok száma egy cégen belül átlagosan 10000 fölé emelkedett, ami logisztikai rémálommá teszi az átállást az SHA-1-ről az SHA-2-re, a Venafi szerint.

A kódaláíró bizonyítványokkal kapcsolatosan a Windows 2016. Január 1. után nem fogadja el az SHA-1-el aláirt időbélyeg nélküli bizonyítványokat.

https://threatpost.com/sha-1-end-times-have-arrived/123061/