Výrobci prohlížečů a certifikační autority jsou zapojeni do koordinované snahy o postupné stažení SHA-1 certifikátů na webu z oběhu už nějaký ten rok, neboť tato hashovací funkce již nenabízí dostatečné zabezpečení proti tzv. spoofingu.
Historie SHA-1 (Secure Hash Algorithm 1; tedy zabezpečený hashovací algoritmus 1) sahá až do roku 1995. O algoritmu je známo, že je zranitelný vůči teoretickým útokům od roku 2005. Americký Národní institut pro standardy a technologie zakázal používání SHA-1 americkým vládním úřadům v roce 2010, autority vydávající digitální certifikáty pak s vydáváním certifikátů podepsaných SHA-1 definitivně přestaly 1. ledna 2016, i když existují jisté výjimky – například pro zastaralé platební terminály.
Hashovací funkce jako SHA-1 jsou využívány k výpočtu alfanumerického řetězce, který slouží jako kryptografická reprezentace souboru nebo kousku dat. Ten může sloužit jako digitální podpis a podmínkou je, aby byl unikátní a nevratný.
V únoru však experti z Googlu a nizozemského výzkumného centra CWI dokázali vytvořit dva PDF soubory se stejným SHA-1 řetězcem. To bez jakékoliv pochybnosti dokázalo, že zastaralou hashovací funkci již nelze využívat pro citlivé aplikace.
Microsoft oznámil, že zákaz SHA-1 podepsaných certifikátů v IE a Edge ovlivní jen certifikáty, které jsou spojeny s kořenovým certifikátem v Microsoft Trusted Root programu.
Podnikové a „vlastnoručně“ podepsané SHA-1 certifikáty to prozatím neovlivní, nicméně dlouhodobým plánem Microsoftu je postupné úplné stažení SHA-1 z Windows, a to včetně dalšího využití funkce – ověřování integrity stažených souborů.
Zúčastněte našeho globálního bezpečnostního průzkumu na téma informační bezpečnosti s názvem The Global State of Information Security Survey 2018 a sdělte nám svůj názor! Průzkum je k dispozici v angličtině a devíti dalších světových jazycích a naleznete ho zde.
Zdroj: PCWorld.com
PŘEDPLATNÉ
ČLÁNKY DO MAILU