HTTPS Analyse von GV.AT Domänen

1. Einleitung

Der Algorithmus SHA-1 transformiert einen beliebigen Wert zu einer eindeutigen, irreversiblen Repräsentation (sog. „Hash value“). Die Hash-Funktion wurde 1995 von NIST im Standard FIPS PUB 180-1 standardisiert und findet seither weit verbreitet Anwendung. Insbesondere SSL- bzw. TLS-Zertifikate sind oftmals mit SHA-1 signiert, nachdem 2009 aufgezeigt wurde, dass MD5 hierfür keine ausreichende Sicherheit mehr bieten kann [1].

Im Jahr 2005 wurden die ersten erfolgreichen Angriffe auf SHA-1 präsentiert [2] [3]. Seither wurden stets effizientere Attacken erarbeitet, die jeweils Anlass dazu geben, alternative Verfahren in Betracht zu ziehen, die den aufgefundenen Problemen nicht ausgesetzt sind.

Um Auswirkungen eines künftig auch praktisch durchführbaren Angriffs bei SHA-1 frühzeitig entgegen zu wirken, beabsichtigten Browserhersteller eine schnelle Abkehr vom problembehafteten Algorithmus. Insbesondere angesichts der Tatsache, dass TLS-Zertifikate üblicherweise für einen Zeitraum von 1-3 Jahren ausgegeben werden, erscheint eine zeitnahe Reaktion sinnvoll.

2. Chronologie

Da erfolgreiche Angriffe auf SHA-1 weitreichende Folgen hätten, verfolgen mehrere Browser-Hersteller frühestens seit Ende 2013 jeweils autonome Richtlinien um Certificate Authorities (CA) und Kunden aktiv dazu zu animieren, auf Zertifikate mit SHA-2 umzusteigen.

Daraus abgeleitet können mehrere Etappen definiert werden, in denen die Verwendung von Zertifikaten mit SHA-1-Signatur unterschiedlich behandelt wird:

• Kein Vermerk: Die Verwendung von Zertifikaten mit SHA-1 wird nicht explizit gekennzeichnet.

• Hinweis: Der Browser weist darauf hin, dass SHA-1 verwendet wird. Die TLS-Verbindung wird jedoch als sicher erachtet.

• Warnung: Der Browser warnt davor, dass eine TLS-Verbindung zu einem Server hergestellt werden soll, der ein SHA-1-Zertifikat verwendet. Obwohl eine geschützte Verbindung aufgebaut werden kann, ist das erreichbare Sicherheitsniveau vergleichbar mit jenem von ungeschützten HTTP-Verbindungen.

• Eskalation: TLS-Verbindungen zu Server mit SHA-1-Zertifikat werden zurückgewiesen und behandelt wie nicht vertrauenswürdige Verbindungen. Durch eine entsprechende Meldung kennzeichnen Browser diese Verbindungen ausdrücklich als unsicher.

In der folgenden Tabelle werden diese Stufen in einer terminlichen und produktbezogenen Relation verwendet um die Unterstützung von SHA-1 zu kennzeichnen.

26.9.2014 [1] 7.11.2014 [2] Q1 2015 1.1.2016 1.1.2017

Tabelle 1. SHA-1 Unterstützung im zeitlichen Kontext. 1 Bzw. mit dem Erscheinen von Google Chrome 39. 2 Bzw. mit dem Erscheinen von Google Chrome 40. 3 http://blogs.technet.com/b/pki/archive/2013/11/12/sha1-deprecation-policy.aspx 4 https://blog.mozilla.org/security/2014/09/23/phasing-out-certificates-with-sha-1-based-signature-algorithms/ 5 http://googleonlinesecurity.blogspot.de/2014/09/gradually-sunsetting-sha-1.html Die angeführte Tabelle berücksichtigt jene Browser-Hersteller, die eine Erklärung über ihren Umgang mit SHA-1 kundgetan haben. Obwohl die jeweiligen Richtlinien in ihren Ausführungen sehr unterschiedlich sind, liegt dennoch bei allen dreien der Konsens vor, dass ab 1.1.2017 Zertifikate mit SHA-1-Signatur nicht mehr akzeptiert werden.

Gemäß den Richtlinien von Microsoft dürfen nach 1.1.2016 keine SHA-1-Zertifikate mehr ausgestellt werden. Bis spätestens 1.1.2017 müssen bereits bestehende ausgetauscht werden. Der Konzern sieht außerdem vor, im Juli 2015 die Richtlinien den dann vorliegenden Umständen anzupassen.

In Versionen von Mozilla Firefox, die ab ersten Quartal 2015 erscheinen, soll in der Web-Konsole gewarnt werden wenn eine Webseite ein Zertifikat mit SHA-1 verwendet. Für gewöhnliche Anwender ist diese Konsole üblicherweise nicht ersichtlich. Ab 1.1.2016 werden neu ausgestellte Zertifikate, die SHA-1 verwenden, abgelehnt und einer unsicheren Verbindung gleichgestellt. Ab 1.1.2017 betrifft das auch bereits früher ausgestellte Zertifikate, die formal noch länger gültig sind.

Google Chrome plant ab Version 39 einen gut sichtbaren Hinweis in Form einer Triangel anzuzeigen sofern ein SHA-1-Zertifikat nach 1.1.2017 noch gültig ist. Ab Chrome 40 werden jene SHA-1-Zertifikate mit einer Triangel vermerkt, die zwischen 1.6.2016 und 31.12.2016 noch gültig sind. TLS-Verbindungen, deren SHA-1-Zertifikate auch 2017 noch gültig sind, werden dargestellt wie ungeschützte HTTP-Verbindungen. Ab der Freigabe von Chrome 41 im ersten Quartal 2015, werden auch SHA-1-Zertifikate mit einer Triangel gekennzeichnet, die zwischen 1.1.2016 und 31.12.2016 noch gültig sind. SHA-1-Zertifikate, die auch 2017 noch gültig sind, werden dann als ausdrücklich unsicher gekennzeichnet.

2.1. Unterstützung von SHA-256

Wenn SHA-1-Zertifikate gegen neuere ausgetauscht werden, sollte darauf geachtet werden, dass ein modernes Hashverfahren wie SHA-256 verwendet wird. Wie von einer bekannten Zertifizierungsstelle evaluiert wurde, sollten die gängigsten Betriebssysteme in den aktuellen Versionen mit SHA-256-Zertifikaten umgehen können [6] . Als untere Kompatibilitätsgrenze wurde angeführt, dass der Hashalgorithmus vor Microsoft Windows XP mit Service Pack 3 bzw. Apple OS X 10.5 nicht unterstützt wird.

3. Österreichische E-Government-Domains

In einer im September 2014 durchgeführten Untersuchung österreichischer .gv.at-Domains im Hinblick auf sicherheitskritische Aspekte, wurde auch erhoben, welche Signaturalgorithmen von den jeweiligen Webseiten verwendet werden. Angesichts der geplanten Abkehr von SHA-1-Zertifikaten sind auch mehrere Domains öffentlicher Einrichtungen betroffen.

Im Anhang A dieses Dokuments werden 91 untersuchte gv.at-Domains aufgelistet, die ein gültiges SHA-1-Zertifikat verwenden:

• Bei 41 davon ist das aktuell verwendete Zertifikat bereits vor 1.1.2016 nicht mehr gültig. Im Zuge einer Erneuerung sollte demnach darauf geachtet werden, dass fortan SHA-256 verwendet wird.

• 21 der 91 Zertifikate sind auch im Jahr 2016 noch gültig. Das bedeutet, dass mit der Freigabe von Google Chrome in Version 41 (Q1 2015) ein Hinweis angezeigt wird, der kenntlich macht, dass die Seiten sicher, aber problembehaftet sind.

• 27 verbleibende Zertifikate sind auch nach 1.1.2017 noch gültig und werden mit dem Erscheinen von Google Chrome in Version 40 (7.11.2014) gleich wie ungeschützte HTTP-Verbindungen angezeigt. Ab Version 41 werden TLS-Verbindungen zu den betroffenen Domains explizit als unsicher gekennzeichnet.

6 https://support.globalsign.com/customer/portal/articles/1499561-sha-256-compatibility Für Vergleichszwecke werden in Anhang B jene analysierten Domains angeführt, die ein gültiges SHA-256-Zertifikat verwenden. Technisch war eine TLS-Verbindung mit 472 Domains möglich; allerdings haben lediglich 95 Domains alle Anforderungen erfüllt um von gängigen Web-Browser nicht ohnehin als ungültig zurückgewiesen zu werden.

4. Fazit

Die schrittweise Einstellung der Akzeptanz von Zertifikaten mit SHA-1 soll dazu dienen, möglicherweise erfolgreichen Angriffen auf den Hashalgorithmus zuvor zu kommen. Da in aktuellen Betriebssystemen die Unterstützung von modernen Hashverfahren wie SHA-256 gegeben ist, sollten entsprechende Zertifikate anstandslos funktionieren.

Die Analyse von gv.at-Domains hat aufgezeigt, dass die Verwendung von SHA-1-Zertifikaten der momentan üblichen Praxis entspricht. Spätestens mit dem Erscheinen von Google Chrome 40 sind erste Implikationen bei 27 Domains öffentlicher Institutionen zu beobachten. Da sich alle Browser-Hersteller vorbehalten, im Falle erfolgreicher Angreife auf SHA-1 die Umstellungszeiträume vorzuziehen, kann ein zeitnaher Wechsel zu SHA-256-Zertifikaten als sehr empfehlenswert angesehen werden.

5. Literaturverzeichnis

[1] M. Stevens, A. Sotirov, J. Appelbaum, A. Lenstra, D. Molnar, D. A. Osvik und B. d. Weger, „Short Chosen-Prefix Collisions for MD5 and the Creation of a Rogue CA Certificate,“ Cryptology ePrint Archive, Report 2009/111, 2009.

[2] V. Rijmen und E. Oswald, „Update on SHA-1,“ CT-RSA, 2005.

[3] X. Wang, Y. Hongbo und Y. L. Yin, „Finding collisions in the full SHA-1,“ CRYPTO, 2005.

[4] E. Barker und A. Roginsky, „Transitions: Recommendation for Transitioning the Use of Cryptographic Algorithms and Key Lengths,“ NIST Special Publication 800-131A, 2011.

[5] P. Teufl, A. Reiter, A. Marsalek und S. Kreuzhuber, „Kurzstudie HTTPS (SSL, TLS) Analyse österreichischer GV.AT Domänen,“ A-SIT, 2014.

Anhang A: gv.at Domains mit validen SHA-1-Zertifikaten Reihung nach Gültigkeitsdatum

Anhang B: gv.at Domains mit validen SHA-256-Zertifikaten Reihung nach Gültigkeitsdatum