Google изоставя SHA-1

Дали заради поразклатеното доверие на мнозина в тях около разкритията на Едуард Сноудън или искрено желание да запазват данните на своите клиенти, но големите компании продължават да затягат защитите на продуктите и услугите, които доставят. 

Google са вероятни най-дейни от големите технологични компании, които подобряват защитните механизми в продуктите и услугите, които доставят. Парите, които раздават за откриване на дупки в сигурността на продуктите им са наистина добри за независимите разработчици по сигурността, флагманският им браузър получава сериозни обновления по сигурността с всяко ново издание. Те бяха сред първите, които имплементираха защитена SSL комуникация към и от продуктите и услугите си. Преди месец Google стимулира собствениците и администраторите на интернет ресурси да въведат допълнителна криптозащита към тях, което освен, че ще ги направи по-сигурни, ще помогне за преимущественото им представяне в резултатите от търсенията в Google Search, а последната похвална инициатива беше започването на представянето на старата версия на страницата на Google Search за тези, които ползват стари и необновени браузъри и по този начин застрашават не само собствената си сигурност, но и на други хора.

Настоящият анонс, който е насочен към подобряването на защитите на продуктите на компанията засяга замяната на сигурния хеш алгоритъм SHA-1 с по-надеждния Chrome 39, който ще направи премиерата си през ноември.

„Известно е, че хешовият криптографски алгоритъм SHA-1 вече не е толкова надежден, колкото при появата си преди девет години. Атаките към него са прекалено успешни, за да го считаме за сигурен за уеб инфраструктурата с публичен ключ (web PKI). Това, което може да очакваме е, че тези атаки ще стават все по-лесни и евтини за изпълнение“, споделят Крис Палмър и Райън Слеви от Google в анонса, обявяващ решението на Google.

Решението за подмяната на SHA-1 на Google следва стъпките на Microsoft и Mozilla. Още преди година от Редмънд съобщиха, че Windows ще спре приемането на SHA-1 сертификати в SSL през 2017г., а само преди дни подобна инициатива обявиха и от Mozilla, премахвайки някои 1024-битови сертификати от списъка си с доверени сертификати (което дойде с новия Firefox).

Действията на Mozilla, Google и Microsoft са обусловени също така от предвиждането (pdf) направено от специалистите от Националния институт по стандартизация и технологии на САЩ (National Institute of Standards and Technology,NIST), че алгоритмите, придружаващи цифровите подписи, които използват 1024-битови ключове ще бъдат компрометирани или ще са сериозно застрашени от компрометиране до 2017-а или 2018-а година.

Именно това е и причината, поради която миналата година Google обнови SSL-сертификатите си с 2048-битови ключове.

„Трябва да сме сигурни, че преди атаките към SHA-1 да бъдат демонстрирани публично, Мрежата ще го е изоставила. За съжаление, това може да създаде и немалко проблеми. Така например, когато ние изоставихме поддръжката за MD5, определен брой предприятия, училища и малки компании бяха засегнати от това, че софтуерът им за осъществяване на прокси комуникация – все от известни производители – се оказа, че продължава да използва несигурните алгоритми. Засегнати от тази промяна бяха и потребителите на някои защитни стени“, добавят Палмер и Слеви.

За да не се получават подобни проблеми, Google обявиха, че още със следващите издания на Chrome, браузърът ще започне да третира SSL сертификатите, които включват SHA-1 базирани сигнатури, като част от сертификационната верига, чиято поддръжка изтича на или след 01.01.2007г., като „сигурни, но притежаващи малки грешки“, „неутрални, необезопасени“, а с версията на Chrome 41, която ще се появи в началото на следващата година, като „положително несигурни“.