Categories: Browser

Nach Nutzerproblemen: Firefox akzeptiert wieder SHA-1-basierte Schlüssel

Mozilla hat entschieden, dass Firefox vorerst wieder SHA-1-basierte Zertifikate für SSL/TLS-Verschlüsselung von HTTP-Verbindungen akzeptieren wird. Zwar hätten die meisten Anwender wohl überhaupt nichts vom Ende der Unterstütztung für SHA-1-Zertifikate bemerkt, schreibt Richard Barnes im Firefox-Blog, andere hätten aber nicht mehr mit Firefox aufs Internet zugreifen können.

Der Hashing-Algorithmus SHA-1 gilt seit 2006 als problembehaftet. Google zufolge lässt sich ein solches Zertifikat heute mit für Kriminelle erschwinglichen Cloud-Ressourcen nachahmen. Damit könnten sie dann einen Man-in-the-Middle-Angriff durchführen, bei dem der Server des Angreifers behauptet, über kein SHA-2-Zertifikat zu verfügen, weshalb man auf SHA-1 zurückfallen müsse.

Das Problem, das Mozilla nun bei Anwendern beobachtet hat, ist, dass sich etliche Sicherheitslösungen selbst wie ein Man-in-the-Middle-Angreifer verhalten, also zwischen den Browser und den eigentlich angesteuerten Server drängen. Wer hinter einem solchen Sicherheitsscanner oder Antivirenprodukt sitze, könne dann nicht mehr mit Firefox aufs Internet zugreifen, heißt es.

Eine neue Version von Firefox lässt daher wieder HTTPS-Verbindungen mit SHA-1-Zertifikaten zu. Betroffene Nutzer müssen es von Hand aufspielen, da Firefox-Updates grundsätzlich verschlüsselt erfolgen. Mozilla ist aber weiter entschlossen, SHA-1-Zertifikate auf Dauer zu sperren. Anbieter der fraglichen Sicherheitsprodukte sollten nun laut Barnes ihre Produkte anpassen. Einen neuen Zeitplan nannte Mozilla nicht.

HIGHLIGHT

Produktiver arbeiten mit Unified Communications & Collaboration

Mit Unified Communications & Collaborations können Unternehmen die Produktivität der Anwender steigern, die Effizienz der IT verbessern und gleichzeitig Kosten sparen. Damit die unbestrittenen Vorteile einer UCC-Lösung sich in der Praxis voll entfalten können, müssen Unternehmen bei der Implementierung die Leistungsfähigkeit der Infrastruktur überprüfen.

Google Chrome 48 akzeptiert zunächst keine SHA-1-Zertifikate mehr, die am 1. Januar 2016 oder später ausgestellt wurden. Spätestens ab 1. Januar 2017 wird Chrome dann überhaupt keine SHA-1-Zertifikate mehr unterstützen. Diesen Zeitplan hatten Google, Mozilla und auch Microsofts Edge-Team im Interesse der Sicherheit ihrer Anwender abgesprochen. Google erwägt noch, das endgültige Aus vorzuverlegen – ähnlich wie es Mozilla versuchte.

Hingegen hatten CloudFlare und Facebook im Dezember ein Verfahren für Server vorgeschlagen, um im Notfall auf SHA-1-basierte Zertifikate zurückzufallen, wenn der Browser eines Anwenders nicht mehr zu bieten hat. Ansonsten könne man mit 7 Prozent aller weltweit eingesetzten Browser nicht mehr verschlüsselt mit Webservern kommunizieren, wovon insbesondere ältere Feature Phones betroffen sind. CloudFlare rechnet dies auf 37 Millionen Anwender hoch.

Das von CloudFlare und Facebook vorhergesehene Problem ist allerdings ein grundlegend anderes als das, vor dem manche Firefox-User zu stehen scheinen. Ihnen ging es um Anwender mit technisch rückständigen Geräten, die gar nicht die Möglichkeit haben, einen modernen Browser wie Firefox einzusetzen.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.

Florian Kalenda

Seit dem Palm Vx mit Klapp-Tastatur war Florian mit keinem elektronischen Gerät mehr vollkommen zufrieden. Er nutzt derzeit privat Android, Blackberry, iOS, Ubuntu und Windows 7. Die Themen Internetpolitik und China interessieren ihn besonders.

Recent Posts

Google veröffentlicht neues Sicherheitsupdate für Chrome

Zwei Schwachstellen in Chrome gehören nun der Vergangenheit an. Von ihnen geht ein hohes Risiko…

3 Stunden ago

Digitale Souveränität: ein essenzieller Erfolgsfaktor für Unternehmen

Mit der zunehmenden computerbasierten und globalen Vernetzung gewinnt die digitale Souveränität an rasanter Bedeutung. Viele…

4 Stunden ago

Google schließt kritische Sicherheitslücke in Android 14

Weitere schwerwiegende Fehler stecken in Android 12 und 13. Insgesamt bringt der Mai-Patchday 29 Fixes.

20 Stunden ago

IT Sicherheit: digitale Angriffe sicher abwehren

IT-Sicherheit - Erkennen und Abwehren von digitalen Angriffen

1 Tag ago

Bestverkaufte Smartphones: Apple und Samsung dominieren

Das iPhone 15 Pro Max ist das meistverkaufte Smartphone im ersten Quartal. Das Galaxy S24…

1 Tag ago

Google: Passkeys schützen mehr als 400 Millionen Google-Konten

Die Passwort-Alternative Passkeys überholt Einmalpasswörter bei der Zwei-Faktor-Authentifizierung. Auch Microsoft setzt sich aktiv für die…

2 Tagen ago