Microsoft hat kürzlich angekündigt, die Unterstützung für TLS-Zertifikate, die vom SHA-1-Hashing-Algorithmus signiert wurden, ab Februar 2017 einzustellen. Microsoft gab weiterhin zu, dass zahlreiche Websites, Benutzer und Anwendungen von Drittanbietern stark betroffen sein werden, sobald das Unternehmen SHA-1 bedauert signierte Zertifikate.

Ab dem 14. Februar 2017 verhindern Microsoft Edge und Internet Explorer 11, dass Websites, die mit einem SHA-1-Zertifikat geschützt sind, geladen werden, und zeigen eine ungültige Zertifikatwarnung an. Obwohl wir davon dringend abraten, haben Benutzer die Möglichkeit, den Fehler zu ignorieren und auf der Website weiterzumachen, so Microsoft in seinem Blogbeitrag.

Die Enthüllung ist nicht gerade neu: Das Unternehmen deutete bereits im November darauf hin.

Der SHA-1-Hashing-Algorithmus, der für die Internetsicherheit in Verbindung mit dem HTTPS-Protokoll und den zum Schutz von Websites verwendeten Zertifikaten verwendet wird, wurde seit 2005 für unsicher und anfällig für Angriffe von gut finanzierten Gegnern erklärt, wurde jedoch bis zum SHA weitgehend verwendet -2- und SHA-3-Algorithmen, die als sicherere Alternativen für Hashing-Funktionen getestet wurden, kamen hinzu. Die Initiative ist nicht neu, und die Funktion wurde bereits von Google und Mozilla als anfälliger für kryptografische Kollisionen als angenommen denunziert und abgelehnt.

Microsoft hat angegeben, dass die Browser Edge und Internet Explorer jetzt das Laden von Websites mit SHA-1-signierten Zertifikaten verhindern und eine Warnung "Ungültiges Zertifikat" anzeigen, um die Sicherheit der Dienste wiederherzustellen. Obwohl Benutzer nicht gezwungen sind, die Websites zu überspringen, haben sie trotz der Warnung die Möglichkeit, die Bedrohung zu umgehen und auf die potenziell gefährdete Website zuzugreifen, nur ohne das Vertrauenssymbol "Sperren", das Benutzer in der Adressleiste ihres Browsers sehen.

Windows-Anwendungen von Drittanbietern, auf denen das Windows SHA-1-Kryptografie-API-Set oder frühere Versionen von Internet Explorer ausgeführt werden, sind von diesen Änderungen nicht betroffen.