Bevor der Online-Shop nicht mehr erreichbar ist: SHA-1 Zertifikate rechtzeitig umstellen!

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print

Bevor der Online-Shop nicht mehr erreichbar ist: SHA-1 Zertifikate rechtzeitig umstellen!

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print
Wenn aktuelle Standards unsicher werden, ist es an der Zeit, sie durch Nachfolger abzulösen. So auch der veraltete Hash-Algorithmus SHA-1 bei SSL-Zertifikaten. Seit langem gilt der bereits als unsicher und wird derzeit durch den Nachfolger SHA-2 ersetzt.
Cristian Heutger, PSW Group

Wenn aktuelle Standards unsicher werden, ist es an der Zeit, sie durch Nachfolger abzulösen. So auch der veraltete Hash-Algorithmus SHA-1 bei SSL-Zertifikaten. Seit langem gilt der bereits als unsicher und wird derzeit durch den Nachfolger SHA-2 ersetzt.

Spätestens, wenn der Online-Shop nicht mehr oder nur noch für einen Teil der Kunden erreichbar ist, sollten Webseiten-Betreiber schnellstmöglich auf SHA-2 signierte SSL-Zertifikate umsteigen. Dann nämlich kann es sein, dass der Shop beziehungsweise die Webseite von Webbrowsern bereits blockiert wird. „Tatsächlich stufen einige Browser Webseiten mit SHA-1-signiertem SSL-Zertifikat bereits als unsicher ein. Für Online-Shops ist das fatal, denn es geht ja zulasten des Umsatzes“, bringt es Christian Heutger, Geschäftsführer der PSW Group (im Bild), auf den Punkt.

Mit einem menschlichen Fingerabdruck vergleichbar

SHA ist ein Hash-Algorithmus, der die Integrität von SSL/TLS- bzw. auch von Code-Signing-Zertifikaten sicherstellen soll. Er ist mit einem menschlichen Fingerabdruck vergleichbar und bildet damit eine fast eindeutige Kennung von größeren Datenmengen. „Werden verschlüsselt transferierte Daten abgefangen und manipuliert, so ändert sich der Hashwert, also die Prüfsumme, und Nutzer erkennen, dass die Daten auf ihrem Versandweg manipuliert wurden“, erklärt Heutger.

Google Chrome besonders streng

Der IT-Sicherheitsexperte macht darauf aufmerksam, dass sich in Sachen Sicherheitswarnung Google Chrome besonders streng verhält: Der Browser zeigt bereits seit Anfang 2016 deutlich bei SHA-1-signierten SSL-Zertifikaten von öffentlichen Zertifizierungsstellen einen Zertifikatsfehler an. Ab Januar 2017 wird Google Chrome keine SHA-1-Zertifikate mehr akzeptieren.

Microsoft wird erst mit dem Anniversary-Update für Windows 10 SHA-1-verschlüsselte Websites als unsicher darstellen. „Es ist etwas schade, dass dies ausschließlich durch das verschwindende Schlosssymbol in der Adressleiste geschehen soll, denn Google warnt deutlich offensichtlicher mit rotem Kreuz und rot durchstrichener HTTPS am Anfang der Adresszeile“, so Christian Heutger. Immerhin möchte sich Microsoft zum Jahreswechsel anschließen: Nutzer von Explorer und Edge werden dann aktiv auf die Unsicherheit der Website hingewiesen.

Bislang inkonsequent verhält sich Mozilla mit seinem Browser Firefox: Ab Januar 2016 sollte SHA-1 nicht mehr vertraut werden. Jedoch hatten zahlreiche Nutzer Probleme mit der Ausmusterung der Zertifikate in Firefox 43, so dass Mozilla SHA-1-Zertifikate bis dato wieder aktiviert hat.

Nicht erst bis 31. Dezember dieses Jahres warten

Shop-Betreiber sollten allerdings nicht erst bis 31. Dezember dieses Jahres warten. Bis dahin dürfen SHA-1-Zertifikate nämlich noch verteilt werden. „Forschern ist es bereits gelungen, so genannte Kollisionsangriffe auf SHA-1 praktisch durchzuführen. Es ist nur noch eine Frage der Zeit, bis auch Cyberkriminelle diesen Hash-Algorithmus knacken und somit Daten, die vom Kunden zum Online-Shop übertragen werden, manipulieren können“, so Christian Heutger. Sein Tipp: „Shop-Betreiber sollten nur noch SHA-2-Zertifikate erwerben. Viele namhafte Zertifizierungsstellen, darunter Comodo, GeoTrust, Symantec und GlobalSign, geben SHA-2-Zertifikate aus.“ Wer im Besitz eines noch gültigen SHA-1-Zertifikats ist, sollte es bei seinem Provider tauschen. Auch Kunden der PSW GROUP können ihr unsicheres SHA-1-Zertifikat kostenlos in ein SHA-2-Zertifikat umtauschen.

Weitere Informationen zur SHA-1-Nachfolge sowie zum Zertifikatstausch gibt es hier und hier.

Share on facebook
Facebook
Share on twitter
Twitter
Share on linkedin
LinkedIn
Share on xing
XING
Share on whatsapp
WhatsApp
Share on email
E-Mail
Share on print
Drucken

Ihre Meinung zum Artikel

avatar
  Abonnieren  
Benachrichtige mich bei

Andere Leser haben sich auch für die folgenden Artikel interessiert

Eine neue Studie von LivePerson und Forrester Consulting hat die sich verändernde Landschaft der Kundeninteraktionen und die zunehmende Bedeutung von Conversational Commerce untersucht. In Echtzeit auf die Wünsche ihrer Kunden eingehen zu können, sind derzeit nur rund ein Drittel der befragten Unternehmen imstande. Der Einsatz von künstlicher Intelligenz, Chatbots und Automatisierung steigert außerdem die allgemeine Kundenzufriedenheit und trägt zum Umsatzwachstum bei.

Die Europäische Kommission startet jetzt einen neuen Preis für Produktsicherheit. Damit sollen Unternehmen ausgezeichnet werden, die hervorragende Produktsicherheit bieten. Unternehmen jeder Größe sind aufgefordert, sich in den Kategorien Online-Verkauf und Babyartikel um diesen Preis zu bewerben. Vera Jourová, der EU-Kommissarin für Verbraucherschutz, wird die Gewinner im September 2019 prämieren.

Werbung

Tragen Sie sich jetzt kostenlos und unverbindlich ein, um keinen Artikel mehr zu verpassen!

* Jederzeit kündbar

Entdecken Sie weitere Magazine

Schön, dass Sie sich auch für weitere Fachmagazine unseres Verlages interessieren.

Unsere Fachtitel beleuchten viele Aspekte der Digitalen Transformation entlang der Wertschöpfungskette und sprechen damit unterschiedliche Leserzielgruppen an.