Firefox und Google Chrome akzeptieren ab 1. Januar 2016 keine neu ausgestellten Zertifikate, die den veralteten Hashalgorithmus SHA-1 verwenden.

Spätestens ab 1. Januar 2017 werden Firefox, Google Chrome und auch Internet Explorer SHA-1-signierte Zertifikate nicht mehr akzeptieren; derzeit erwägen einige Browserhersteller, dies bereits auf Mitte 2016 vorzuziehen.

Dies bedeutet, dass Anwender nur noch eingeschränkt auf Webserver zugreifen können, die SHA-1-signierte Zertifikate zur Authentisierung und Aushandlung verschlüsselter Kommunikation verwenden.

Webserverbetreibern wird daher empfohlen, so bald wie möglich auf Zertifikate mit SHA-2 Signaturen umzustellen. Dies gilt im Zusammenhang mit den Einschränkungen im Browser auch für CRL- und OCSP-Signaturen und dafür verwendete Zertifikate, aber ebenso für alle anderen X.509-Zertifikate (andere TLS-Protokolle, Personenzertifikate).

Von der Uni Stuttgart CA neu ausgestellte Zertifikate sind bereits mit SHA-2 signiert; bitte beachten Sie dabei, dass Sie auch die Zertifikatskette ("Chain") neu von CA-Zertifikate beziehen müssen.

Weitere Information:

• heise: Abschied von SHA-1-siginierten SSL-Zertifikaten (20. Dezember 2015)
• Mozilla: Continuing to Phase Out SHA-1 Certificates (20. Oktober 2015)
• Google: An update on SHA-1 certificates in Chrome (18. Dezember 2015)
• Microsoft: Proposed Updates to the SHA-1 Deprecation Timeline (28. Oktober 2015)
• SSL Server Test

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/