Denne side bruger cookies
Dette forum bruger cookies. Hvis du er registreret, bruges de til at huske hvem du er logget ind som. Hvis ikke, gemmer vi dit sidste besøgstidspunkt. Besøgstidspunktet bruges bl.a. til at holde øje med, hvilke tråde du allerede har læst. Cookies er små tekstdokumenter, som bliver gemt i din browser og udgør ingen sikkerhedsrisiko. Tryk "Mere Information" nedenfor, for en liste over de cookies vi sætter. Du har mulighed for at fravælge cookies ved at klikke på knappen "Blokér Cookies" i bunden af denne boks.

En ikke-personhenførbar cookie vil blive gemt i din browser, uanset dit valg (Medmindre du ikke foretager et). Således undgår du at blive spurgt igen. Du kan til enhver tid ændre dit valg via linket i bunden af siden.

Tråd bedømmelse:
  • 0 Stemmer - 0 Gennemsnit
  • 1
  • 2
  • 3
  • 4
  • 5
Google udfaser SHA1 i forb. med SSL/TLS
14-11-2014, 01:40 (Denne besked var sidst ændret: 14-11-2014, 01:47 af Doctor Blue.)
#1
Google udfaser SHA1 i forb. med SSL/TLS
Det er lidt en gammel nyhed, men jeg kom lige til at tænke på det.
Google er, efter min mening, meget effektive når det kommer til at erstatte forældede teknologier. For ikke så voldsomt længe siden, bekendtgjorde de, at hjemmesider med SSL/TLS vil blive rangeret højere end sider uden.
Denne gang handler det så om den underliggende teknologi. Når man signerer indhold, så bruger man blandt andet en hashing-algoritme. SHA1 har været, og er vist stadig, den mest brugte. Det var engang MD5, men den er vi heldigvis sluppet nogenlunde af med.
SHA1 er hullet. Nu skal vi af med den, og den skal erstattes med SHA2.

Dette problem vil Google hjælpe med at løse, ved at skynde på CA'erne gennem sikkerhedsadvarsler. Sider der bruger SHA1-certifikater der udløber i 2017 eller senere vil i Chrome 40 (Udgives meget snart) vise en gul trekant over hængelåsen. I Chrome 41 (Udgives i første kvartal af 2015), vil alle SHA1-certifikater med udløb i 2016 vise en rød (kritisk) advarsel, og strege HTTPS over.

Det er en meget drastisk tilgang, idet nogle virksomheder har certifikater i 3 år ad gangen, og ikke alle virksomheder er lige gode til at tildele nye certifikater (Inklusiv enom, som jeg har købt RapidSSL igennem). Det er lidt sur røv.

Namecheap, GoDaddy og en håndfuld andre udbydere er dog allerede klar til at signere nye SHA2 certifikater med CA'ernes nye SHA2 root-certifikater. Jeg er stor fan af Namecheap, så der rykker jeg i hvert fald over når det nuværende certifikat er ved at udløbe.

Kilde: http://googleonlinesecurity.blogspot.dk/...sha-1.html
Yderligere spændende læsning: https://konklone.com/post/why-google-is-...kill-sha-1

Nu vi snakker om SHA1 og hashing. Husk, børn, at message digest algoritmer altid er utilstrækkelige til passwords. Hvis du bruger MD5, SHA1 eller endda SHA2 (Om så det er i 500 omgange) til dine passwords, så skift til bcrypt og vælg en strength på 12 eller derover.
Mangler du hjælp?
Regler |  E-mail (PGP)
Besøg denne brugers hjemmeside Find alle beskeder fra denne bruger
Citer denne besked i et svar
« Ældre | Nyere »




User(s) browsing this thread: 1 Gæst(er)