Aus die Maus: SHA-1 im IE und im Edge geblockt

Finally! Endlich, habe fertig, möchte man rufen. Microsoft hat mit dem Patchday am 9. Mai 2017 (siehe Patchday Mai 2017: Updates für Windows 7/8.1) auch die SHA-1-Unterstützung in seinem Browsern Microsoft Edge und Internet Explorer gekappt.


Anzeige

In Kürze: SHA-1 ist ein Verschlüsselungsverfahren, welches bei der Übertragung von SSL-Verbindung zu https-Servern zum Einsatz kommen konnte. Das Verfahren galt aber seit langem als potentiell unsicher und alle Browserhersteller hatten das Auslaufen von SHA-1 Ende 2016 angekündigt (siehe Abschied von SHA-1 in 2016 heißt reagieren …). Im Februar 2017 hatte ich den Blog-Beitrag Warnung: SHA1 erfolgreich geknackt, der den erfolgreichen Angriff auf SHA-1 bestätigte.

Bad SHA-1 SSL website

Google und Mozilla haben beim Chrome (siehe obiger Screenshot) und beim Firefox die SHA-1-Unterstützung gekappt. Jetzt hat Microsoft also nachgezogen. Wer plötzlich beim Aufruf einer Webseite eine Warnung, ähnlich wie nachfolgend, angezeigt bekommt, dass die Übertragung unsicher sei, kennt jetzt den Grund.

Bei heise.de ist in diesem Artikel zum Thema noch eine andere Fehlermeldung zu sehen. Ich bin nicht sicher, welche genaue Anzeige letztendlich kommt. Wegen Zertifikatsproblemen mit dem Google Chrome und Derivaten musste ich am Jahresanfang 2017 den Zertifikatespeicher von einem SHA-1-Zertifikat bereinigen. Bei heise.de findet ihr noch ein paar zusätzliche Informationen.

Ähnliche Artikel:
Patchday Mai 2017: Updates für Windows 7/8.1
Abschied von SHA-1 in 2016 heißt reagieren …
Nachtrag: Kollateralschaden (TLS/SHA-1) von Update KB3172605
Google unsicher? SHA-1-Kollateralschäden im Google Chrome
Warnung: SHA1 erfolgreich geknackt


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Anzeige


Dieser Beitrag wurde unter Edge, Internet, Internet Explorer, Sicherheit abgelegt und mit Edge, Internet Explorer, SHA-1, Sicherheit verschlagwortet. Setze ein Lesezeichen auf den Permalink.

2 Antworten zu Aus die Maus: SHA-1 im IE und im Edge geblockt

  1. Kim O. Fee sagt:

    Schön, schön, John „Wayne“. Oder: IE, Edge – einfach nur: „Gähn“.

    Zumindest hierzulande interessiert sich das Publikum nämlich vornehmlich für:
    https://de.statista.com/statistik/daten/studie/13007/umfrage/marktanteile-der-browser-bei-der-internetnutzung-in-deutschland-seit-2009/
    Und wäre da nicht die Zwangsbeglückung durch Windows 10, sähe das, wie wir alle wissen, für IE/Edge nochmals ’ne Edge anders aus. Und überhaupt, der MS-Krempel befindet sich im Internet auf Talfahrt – weltweit:
    http://gs.statcounter.com/press/android-challenges-windows-as-worlds-most-popular-operating-system
    Die Statistik-Kurven sehen zumindest nicht unbedingt danach aus, als würden sie auf absehbare Zeit eine gegenläufige Richtung einschlagen (wenn sich die Stetigkeit der Steigung auch verlangsamt hat – man wird sehen)

    Beim Thema Browser – insbesondere beim FF – beschäftigen mich persönlich sowieso noch ein paar andere und vielleicht dringlichere Dinge – ein bisschen „OT“, aber ich möchte mal auf das Thema hinweisen:
    http://www.giga.de/extra/ratgeber/specials/was-sind-tracker-wie-deaktivieren-einfach-erklaert/
    https://itrig.de/index.php?/archives/2101-Tracking-ade-CanvasBlocker,-Fingerprinting-im-Firefox-blockieren.html
    https://www.privacy-handbuch.de/handbuch_21n.htm

  2. Martin Feuerstein sagt:

    Habe kürzlich eine Windows CA von SHA-1 auf SHA-2 (SHA-256) umgestellt… vorher keine Probleme in IE und FF. Mit den neu ausgestellten Zertifikaten (sowohl Root-Zertifikat als auch Zertifikat SHA-2) habe ich im IE auch keine Probleme, nur Firefox zickt seitdem rum: „sec_error_bad_signature“ ohne Möglichkeit, die Seite manuell freizuschalten („Zertifikat trotzdem vertrauen“). Eine andere CA mit SHA-512 hat dieses Problem nicht.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.