Ook Firefox gaat ondersteuning SHA-1-algoritme stoppen
Na Microsoft en Google gaat ook Mozilla de ondersteuning van het SHA-1-algoritme stoppen, zo heeft de browserontwikkelaar laten weten. Het SHA-1-algoritme wordt gebruikt voor het signeren van SSL-certificaten. De veiligheid van het algoritme ligt al langere tijd onder vuur omdat het steeds kwetsbaarder voor collision-aanvallen worden. Bij een collision-aanval is het mogelijk om een vals SSL-certificaat te maken, waarbij de SHA-1-hash nog steeds overeenkomt met de hash van het legitieme certificaat dat door een Certificaat Autoriteit is uitgegeven.
Om internetgebruikers tegen frauduleuze SSL-certificaten te beschermen stelt Mozilla dat Certificaat Autoriteiten na 1 januari 2016 geen SSL-certificaten meer moeten uitgeven die met SHA-1 zijn gesigneerd. Daarnaast moeten deze certificaten na 1 januari 2017 helemaal niet meer worden vertrouwd. Mozilla is nu van plan om een beveiligingswaarschuwing aan de webconsole toe te voegen om webontwikkelaars eraan te herinneren dat ze geen SHA-1-gebaseerde certificaten moeten gebruiken.
Ook zal er een duidelijkere waarschuwing verschijnen als het certificaat na 1 januari 2017 nog geldig is, aangezien Mozilla deze certificaten dan zal weigeren. De waarschuwingen zullen de komende weken worden geïmplementeerd, wat inhoudt dat ze waarschijnlijk begin 2015 in Firefox zullen verschijnen. Als Firefox na 1 januari 2017 een SHA-1-gebaseerd certificaat tegenkomt krijgen gebruikers een waarschuwing dat de verbinding niet betrouwbaar is.
Of zijn er nog (veel) compatibiliteitsproblemen de vervanger?
Bij de meeste CA's kan je trouwens geen eens meer een SHA-1 certificaat krijgen.
Toevoeging: SHA-1 is geen signing algoritme, maar een hashing algoritme. Het is de hash die wordt gesigned en daarom kan de hash-functie gezien worden als onderdeel van het signing algoritme.
Of zijn er nog (veel) compatibiliteitsproblemen de vervanger?
Erger, de hele keten van Comodo certificaten daarbij gebruikt SHA1! Om precies te zijn:
1) AddTrust External CA Root (geldig tot 2020-05-30 10:48:38 GMT)
2) COMODO Certification Authority (geldig tot 2020-05-30 10:48:38 GMT)
3) EssentialSSL CA (geldig tot 2019-12-31 23:59:59 GMT)
4) checkjeschoolgebouw.nl (geldig tot 2015-09-23 23:59:59 GMT)
Voor het root certificaat (1) maakt dit nauwelijks uit, maar van beide intermediate certificaten is het beschamend dat deze nog worden ingezet; Chrome zal hier binnenkort al over gaan klagen, en dus ook over het eindcertificaat. En Firefox dus kennelijk ook...
Kennelijk hebben CSP's hun zaakjes nog lang niet voor elkaar!
Of zijn er nog (veel) compatibiliteitsproblemen de vervanger?
Ja, er zijn nog flink wat (enterprise) applicaties die geen SHA2 ondersteunen.
Eigenlijk zijn ze veel te traag met het afbouwen, maar men is in de security wereld nou eenmaal erg langzaam met het opnemen van nieuwe standaarden. Niet verbazend trouwens, ik geloof dat er over 17/500 sites met SHA-1 werd gesproken, dat is 0.034% van de sites. De massa is nou eenmaal altijd langzaam, niet alleen met security.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.