Mit März 2014 stellt GlobalSign Zertifikate standardmäßig nur noch mit dem SHA-256 Verfahren aus. Womit müssen Zertifikatsinhaber rechnen, welche Alternativen gibt es und verlieren bestehende Zertifikate Ihre Gültigkeit?

Das CA/Browser Forum hat den SHA-256 Mechanismus noch nicht in die Grundvoraussetzungen für die Zertifikatsausstellung aufgenommen. Aber durch die Initiative Microsoft werden die Zertifizierungsstellen zum Handeln gezwungen.

Was genau ist SHA. Hinter diesem Kürzel verbirgt sich der so genannte „Secure Hash Algorithm“. In der Version 1 vom NIST (National Institute of Standards and Technology) entwickelt, dient dieser Mechanismus dazu, eine Zeichenfolge beliebiger Länge mit einer Zeichenfolge fester Länge abzubilden. Dabei ist die Prüfsumme im Fall von SHA-1 160 Bit lang.

Microsoft hat sich aber für den Austausch des Hashing Mechanismus SHA-1 zugunsten eines moderneren und sicherer entschieden. Man hat den SHA-256 Mechanismus ausgewählt, als einer der vier Mechanismen aus SHA-2 soll dieser zur Verwendung kommen.

Als erstes Datum auf der Roadmap ist der 16. Januar 2016 vorgesehen. Mit diesem Tag beendet Microsoft das Vertrauen in Code-Signing Zertifikate die mit diesem Mechanismus ausgestellt wurden. Weitere Daten sind der 1. Januar 2017, mit dem allen SSL Zertifikaten mit SHA-1 Mechanismus das Vertrauen entzogen werden soll.

Daher hat GlobalSign sich entschlossen, mit Anfang März 2014 als Standard bei der Ausstellung neuer Zertifikate SHA-256 zu implementieren.

Das bedeutet, dass bei der Verwendung alter Software, die mit dem neuen Hashing Algoritmus nicht arbeiten kann, explizit die Ausstellung auf SHA-1 zu beantragen. Darüberhinaus sollten alle SHA-1 Zertifikate bis zur ersten spätestens aber bis zur letzten Deadline mit SHA-256 neuausgestellt worden sein.

Von Inkompatibilitäten sind dabei insbesondere veraltete Betriebssysteme betroffen. Bekannt sind dabei vor allem Inkompatibilitäten mit Windows Versionen, die älter als Windows XP SP3 sind. Ebenso gibt es einige Betriebssysteme mobiler Endgeräte, die mit dem neuen Standard Schwierigkeiten bekommen können.

GlobalSign bietet Kunden die Möglichkeit, diese Neuausstellung kostenfrei vornehmen zu las-sen. Zertifikate die noch mit SHA-1 ausgestellt werden, werden auf eine maximale Laufzeit von 3 Jahren begrenzt.

icertificate unterstützt alle Kunden selbstverständlich bei der Migration von SHA-1 zu SHA-256. Die Migration sollte in jedem Fall und so schnell wie möglich vorgenommen werden, um in den Genuss des sichereren Hashing-Mechanismus zu kommen.

• • 
    © aihumnoi - Fotolia.com

Weiterführende Links

• Originalmeldung von icertificate GmbH
• Alle Meldungen von icertificate GmbH