Thunderbird kan weer onveilige op SHA-1 gebaseerde signatures accepteren
E-mailclient Thunderbird kan weer onveilige op SHA-1-gebaseerde signatures voor S/MIME e-mails accepteren, zo hebben de ontwikkelaars aangekondigd. Thunderbird-gebruikers kunnen hun e-mail digitaal ondertekenen, waarvoor de e-mailclient lange tijd het SHA-1-algoritme gebruikte. Er zijn verschillende SHA-versies in omloop. Sinds 2005 zijn er collision-aanvallen op het SHA-1-algoritme bekend waar verschillende invoer dezelfde uitvoer geeft.
Het algoritme wordt dan ook al lange tijd als onveilig beschouwd. Al tien jaar geleden werd het Thunderbird-ontwikkelteam gevraagd om met het gebruik van SHA-1 voor het signeren van e-mails te stoppen. Inmiddels maakt Thunderbird al jaren gebruik van SHA-256. Met de lancering van Thunderbird 115 (Supernova) in juli van dit jaar accepteert Thunderbird geen op SHA-1 gebaseerde digitale handtekeningen van S/MIME e-mails meer.
Wanneer voor de betreffende signature toch SHA-1 is gebruikt laat Thunderbird een melding zien dat de digitale handtekening ongeldig is. De ontwikkelaars stellen dat de meeste moderne e-mailclients die S/MIME ondersteunen een ander hashing-algoritme ondersteunen, zoals SHA-256. Recentelijk kregen de ontwikkelaars te horen dat SHA-1 in sommige omgevingen nog wordt gebruikt.
Het gaat dan om overheidsinstanties die op SHA-1 gebaseerde berichten blijven versturen. De ontvangers van deze e-mails hebben het Thunderbird-ontwikkelteam gevraagd naar een manier om de geldigheid van dergelijke signatures te verifiëren, ondanks het risico dat de handtekening is vervalst. Om deze gebruikers tegemoet te komen biedt Thunderbird vanaf versie 115.4.1 de optie 'mail.smime.accept_insecure_sha1_message_signatures', waarmee dit mogelijk is.
Het Thunderbird-ontwikkelteam adviseert deze instelling niet in te schakelen. Organisaties zouden de betreffende afzenders moeten oproepen om naar SHA-256 voor hun signatures te migreren. Zodra dit is gedaan zou de instelling weer moeten worden uitgeschakeld. Het aanpassen van de instelling heeft geen gevolgen voor gesigneerde berichten die via Thunderbird worden verstuurd, aangezien de e-mailclient daarvoor SHA-256 gebruikt.
<zucht>
Ik moet wel erbij zeggen dat ik geen voorstander ben om de waarde op TRUE te zetten. Ik laat de waarde gewoon op False staan.
Het is keer op keer bewezen dat ze opzettelijk backdoors in bouwen, bedrijven omkopen om opzettelijk zwakheden in te voegen en wat ze goedkeuren zonder te morren is duidelijk al gebreached...
Stellen ze het voor, kun je er gif op innemen (pun intended) dat ze het onder controle hebben.
dus per definitie NIET gebruiken voor veilige communicatie.
Of het nu SHA1 of SHA256 of SHA3 is... boeien... zolang de NSA een vinger in de pap heeft, kun je het simpelweg niet vertrouwen.
Het is keer op keer bewezen dat ze opzettelijk backdoors in bouwen, bedrijven omkopen om opzettelijk zwakheden in te voegen en wat ze goedkeuren zonder te morren is duidelijk al gebreached...
Stellen ze het voor, kun je er gif op innemen (pun intended) dat ze het onder controle hebben.
dus per definitie NIET gebruiken voor veilige communicatie.
Of het nu SHA1 of SHA256 of SHA3 is... boeien... zolang de NSA een vinger in de pap heeft, kun je het simpelweg niet vertrouwen.
Suggesties voor andere algoritmen? Zo veel mogelijkheden zie ik niet als je de hele SHA-familie om zeep helpt.SHA3 komt trouwens niet uit de koker van de NSA, hoewel wel goedgekeurd door de NIST. Ik wil wel geloven dat dat een niet onbelangrijk verschil is.
Deze uitspraak is even grote flauwekul als het aangehaalde citaat. Zowel SHA256 als de stelling van Pythogoras zijn gebaseerd op zeer overzichtelijke en zeer goed bekende stukjes wiskunde. Als je code uit de NSA koker niet vertrouwt, soit. Maar een een eenvoudig wiskundig algoritme? Het is paranoïde om dat niet vertrouwen.
Het is keer op keer bewezen dat ze opzettelijk backdoors in bouwen, bedrijven omkopen om opzettelijk zwakheden in te voegen en wat ze goedkeuren zonder te morren is duidelijk al gebreached...
Stellen ze het voor, kun je er gif op innemen (pun intended) dat ze het onder controle hebben.
dus per definitie NIET gebruiken voor veilige communicatie.
Of het nu SHA1 of SHA256 of SHA3 is... boeien... zolang de NSA een vinger in de pap heeft, kun je het simpelweg niet vertrouwen.
Het is keer op keer bewezen dat ze opzettelijk backdoors in bouwen, bedrijven omkopen om opzettelijk zwakheden in te voegen en wat ze goedkeuren zonder te morren is duidelijk al gebreached...
Stellen ze het voor, kun je er gif op innemen (pun intended) dat ze het onder controle hebben.
dus per definitie NIET gebruiken voor veilige communicatie.
Of het nu SHA1 of SHA256 of SHA3 is... boeien... zolang de NSA een vinger in de pap heeft, kun je het simpelweg niet vertrouwen.
Het is keer op keer bewezen dat ze opzettelijk backdoors in bouwen, bedrijven omkopen om opzettelijk zwakheden in te voegen
Zijn daar ook door onafhankelijke instanties bewijzen voor aangeleverd?
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.