Nach Nutzerproblemen: Firefox akzeptiert wieder SHA-1-basierte Schlüssel

Mozilla hat entschieden, dass Firefox vorerst wieder SHA-1-basierte Zertifikate für SSL/TLS-Verschlüsselung von HTTP-Verbindungen akzeptieren wird. Zwar hätten die meisten Anwender wohl überhaupt nichts vom Ende der Unterstütztung für SHA-1-Zertifikate bemerkt, schreibt Richard Barnes im Firefox-Blog, andere hätten aber nicht mehr mit Firefox aufs Internet zugreifen können.

Der Hashing-Algorithmus SHA-1 gilt seit 2006 als problembehaftet. Google zufolge lässt sich ein solches Zertifikat heute mit für Kriminelle erschwinglichen Cloud-Ressourcen nachahmen. Damit könnten sie dann einen Man-in-the-Middle-Angriff durchführen, bei dem der Server des Angreifers behauptet, über kein SHA-2-Zertifikat zu verfügen, weshalb man auf SHA-1 zurückfallen müsse.

Das Problem, das Mozilla nun bei Anwendern beobachtet hat, ist, dass sich etliche Sicherheitslösungen selbst wie ein Man-in-the-Middle-Angreifer verhalten, also zwischen den Browser und den eigentlich angesteuerten Server drängen. Wer hinter einem solchen Sicherheitsscanner oder Antivirenprodukt sitze, könne dann nicht mehr mit Firefox aufs Internet zugreifen, heißt es.

Eine neue Version von Firefox lässt daher wieder HTTPS-Verbindungen mit SHA-1-Zertifikaten zu. Betroffene Nutzer müssen es von Hand aufspielen, da Firefox-Updates grundsätzlich verschlüsselt erfolgen. Mozilla ist aber weiter entschlossen, SHA-1-Zertifikate auf Dauer zu sperren. Anbieter der fraglichen Sicherheitsprodukte sollten nun laut Barnes ihre Produkte anpassen. Einen neuen Zeitplan nannte Mozilla nicht.

Google Chrome 48 akzeptiert zunächst keine SHA-1-Zertifikate mehr, die am 1. Januar 2016 oder später ausgestellt wurden. Spätestens ab 1. Januar 2017 wird Chrome dann überhaupt keine SHA-1-Zertifikate mehr unterstützen. Diesen Zeitplan hatten Google, Mozilla und auch Microsofts Edge-Team im Interesse der Sicherheit ihrer Anwender abgesprochen. Google erwägt noch, das endgültige Aus vorzuverlegen – ähnlich wie es Mozilla versuchte.

Hingegen hatten CloudFlare und Facebook im Dezember ein Verfahren für Server vorgeschlagen, um im Notfall auf SHA-1-basierte Zertifikate zurückzufallen, wenn der Browser eines Anwenders nicht mehr zu bieten hat. Ansonsten könne man mit 7 Prozent aller weltweit eingesetzten Browser nicht mehr verschlüsselt mit Webservern kommunizieren, wovon insbesondere ältere Feature Phones betroffen sind. CloudFlare rechnet dies auf 37 Millionen Anwender hoch.

Das von CloudFlare und Facebook vorhergesehene Problem ist allerdings ein grundlegend anderes als das, vor dem manche Firefox-User zu stehen scheinen. Ihnen ging es um Anwender mit technisch rückständigen Geräten, die gar nicht die Möglichkeit haben, einen modernen Browser wie Firefox einzusetzen.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.