Schon seit 2005 gilt das SHA1-Hash-Verfahren zur Verschlüsselung von Internetverbindungen als geknackt. Im Februar diesen Jahres gab es auch den praktischen Nachweis, dass man sogenannte Kollisionen, also zwei verschiedene Datensätze, die den gleichen Hash-Wert ergeben, berechnen kann.
Microsoft hat schon länger angekündigt, seine Browser Internet Explorer und Edge so umzustellen, dass sie auf mittels SHA-1-Signaturen erzeugte HTTPS-Seiten mit Fehlermeldungen reagieren – Mozillas Firefox und Googles Chrome machen das schon seit längerem. Seit letzter Woche liefert Microsoft Updates für seine beiden Browser aus, um das geknackte Hash-Verfahren SHA-1 so zu blockieren.
Details zur SHA1-Blockade beschreibt Microsoft im Security Advisory 4010323, eine deutsche Übersetzung finden Sie hier. Die Updates können auch manuell downgeloadet werden, sie stehen im Knowledge Base Artikel 4010323.
Als Nachfolge für das Hash-Verfahren wird SHA-2 empfohlen. Dessen Varianten SHA256 und SHA512 werden als ausreichend sicher angesehen, auch langfristig die Unterscheidbarkeit verschiedener Online-Dokumente sicherstellen zu können.
