Forscher meinen, der SHA-1-Algorithmus, mit dem noch immer die meisten SSL-Zertifikate unterschrieben werden, ist leichter zu knacken, als gedacht.
SHA-1 ist eine kryptografische Hashfunktion, mit der sich Fingerabdrücke von Dokumenten erzeugen lassen, auf deren Grundlage man leicht entscheiden kann, ob das Dokument anschließend modifiziert wurde. Schwächen in diesem Algorithmus waren schon länger bekannt und moderne Browser werden mit ihm unterschriebene Zertifikate nach dem 1. Januar 2017 nicht mehr akzeptieren. Das Datum hatte man gewählt, indem man sich überlegt hatte, wann bei fallenden Rechenkosten wohl ein Punk erreicht sein würde, an dem ein solcher Angriff wirtschaftlich zu realisieren wäre.
Nun aber haben die Forscher aber herausgefunden, dass man sich schon für 75 000 bis 120 000 Dollar genügend frei verfügbare Rechnenressourcen kaufen könnte, um den Algorithmus anzugreifen. Der Intel-Forscher Jesse Walker hatte früher geschätzt, dieser Punkt würde erst 2018 erreicht. Die Forscher empfehlen nun dringend, den Migrationsprozess hin zu den noch als sicher geltenden Verfahren SHA-2 oder SHA-3 zu beschleunigen.
