Az SHA-1 életben tartását kéri a CloudFlare és a Facebook
A két cég adatai szerint több tízmillióan járnának pórul az SHA-2-re váltással, főleg a fejlődő országokban, így kompromisszumos megoldást javasolnak az átállásra.
Vészesen közeledik a szakértők szerint néhány éven belül költséghatékonyan feltörhető SHA-1 algoritmust használó tanúsítványok kivonása a forgalomból. A tanúsítványkibocsátók és böngészőgyártók által minimum betartandó szabályokat kialakító CA/Browser iparági testület hatályos döntése értelmében 2016-tól nem lehet kibocsátani SHA-1-es tanúsítványokat, a szabályozás pedig semminemű engedményt nem tartalmaz. Így azok a felhasználók, akik nem rendelkeznek SHA-2 (SHA-256) kompatibilis eszközzel, az ilyen tanúsítványt alkalmazó oldalakat attól kezdve nem érhetik el.
A támogatás átmenet nélküli megvonása által érintett felhasználói réteg méretét a CloudFlare és a Facebook is megbecsülte saját forgalmi adataik alapján – a forgalom, globális lefedettség és felhasználói diverzitás miatt mindkettő reprezentatívnak számít. A két cég szerint 2016 januárjától több tízmillióan (a CloudFlare 37 milliót becsült) nem férnek majd hozzá számos, legalább SHA-2-es tanúsítványt alkalmazó HTTPS-es weboldalakhoz. Az érintettek többsége a fejlődő országokban él, a CloudFlare listáján Kína mellett számos afrikai ország van az első tízben, ahol a böngészésre használt eszközök 4-6 százalékát érinti hátrányosan a tervezett átállás.
Nagy pénz, nagy szívás: útravaló csúcstámadó IT-soknak Az informatikai vezetősködés sokak álma, de az árnyoldalaival kevesen vannak tisztában.
Ez persze az ottani, elsősorban jövedelmi, másodsorban pedig informatikai-telekommunikációs infrastrukturális fejlettséget ismerve nem meglepő. Az SHA-2-t a böngészők közül mindegyik támogatja már a legelső vagy korai verziók óta, a problémát az operációs rendszerek jelentik: Windows XP-ből legalább SP3-ra frissített, Androidból pedig minimum 2.3-as (Gingerbread) szükséges kliensoldalon.
Ezek jellemzően egy-másfél évtizedes számítógépeken és 4-5 éves, piacra dobás után szoftverfrissítés nélkül maradt mobileszközökön futnak, amiket jó eséllyel sosem fognak már frissíteni. Az Android Dashboard szerint az Android 2.2 (Froyo) részesedése globálisan mindössze 0,2 százalék, ami egy kétmilliárd körüli telepített bázissal számolva négymillió mobilkészüléket jelent – persze Kína nélkül, ami a Play Store és Play Services hiánya miatt kimarad a statisztikából. A CloudFlare adataival összevetve nagyjából 30 millió asztali PC és 6-7 millió androidos mobileszköz lehet tehát érintett, de ennél lényegesen több ember – hiszen a rendkívül alacsony jövedelem miatt ezek az eszközök családokat, kisebb közösségeket is kiszolgálhatnak.
Új tanúsítvány a "jó ügy" érdekében?
A CloudFlare ezért azt javasolja, hogy a CA/B Forum vezessen be egy új tanúsítványosztályt. A Legacy Verified (LV) tanúsítványokkal az átállás által leginkább érintett oldalak tulajdonosai biztosíthatnák az SHA-1 fallback lehetőségét, a tanúsítványt pedig kizárólag akkor kaphatnák meg, ha hitelt érdemlően tudnák igazolni, hogy egyébként az SHA-2-t támogató eszközök felé nem nyitják meg ezt a kiskaput. A CloudFlare szerint a kompromisszum részeként az LV tanúsítványokat használóknak cserébe vállalnia kellene, hogy ha olyan lehetőségre derülne fény, mellyel az SHA-2-nél gyengébb titkosításra (downgrade) vehető rá a böngésző, és a hibát nem lehet frissítéssel javítani, azonnali hatállyal visszavonják az LV-tanúsítványokat.
A Facebook teljes mellszélességgel támogatja a CloudFlare javaslatait, azzal a kéréssel kiegészítve, hogy a CA/B Forum halassza el a jelenleg érvényes terv kivitelezését, ha az iparági szereplőknek év végéig nem sikerül megegyezésre jutni. A Facebook fallback-megoldását már nyílttá tette, a CloudFlare pedig jövő év elején fogja ugyanezt meglépni – utóbbi a Mozillával közösen végezte a fejlesztést. A javaslatok persze rögtön biztonsági szakemberek kereszttüzébe kerültek, akik eddig elsősorban a Twitteren adtak hangot ellenkezésüknek. A két indítványozó piaci súlya miatt azonban esélyes, hogy a CA/B Forum valamilyen formában engedni fog az eredeti tervből – univerzálisan jó választás viszont egyelőre nem látszik.