Här är säkerhetsuppgraderingen som kommer att innehålla 40 miljoner människor från webben

$config[ads_kvadrat] not found

h

h
Anonim

Det gröna låset du ser i din webbadressfält indikerar en autentisk och privat anslutning. Detta intyg säkerställer att din information kvarstår inom den betrodda webbplatsens gränser och att webbplatsen du besöker är faktiskt den webbplats som den själv åberopar. När du loggar in på Facebook, med andra ord, blir du lovad både att a) din information - inloggning, kommunikation, bilder etc. - förblir inom säkra gränserna för webbplatsen och b) Facebook är faktiskt Facebook, inte en bedragare.

Om någon skulle knäcka en SHA-1-krypterad webbplats, skulle de ha sina händer på mycket värdefull information - vilket gör kostnaden för den initiala inbromsningen försumbar. En individ, en organisation eller en nation kan utgöra Facebook, säg, samtidigt som man avlyssnar vad som helst utbyte eller privat information som de så önskade att avlyssna. Ett annat hot är en phishing-attack, där en individ, organisation eller nation maskerar som en webbplats för att stjäla användarnas information.

Med tanke på Osäkerheten i SHA-1, är de flesta större webbplatser överens om att övergången är försenad. Det finns dock en nackdel. Internetanvändare med gamla telefoner eller skrivbord kan inte komma åt SHA-2-krypterade webbplatser. Gamla telefoner eller datorer har virtuella tak som utesluter att program eller appar uppdateras. Och SHA-2 kommer att ha en slags "You Must Be This Tall to Ride" -mått på webbläsare. I huvudsak, om din telefon eller dator inte är "tillräckligt hög" - läs: tillräckligt ny, uppdaterad nog - att "rida" SHA-2-krypterade webbplatser kommer att göra dig borta.

CloudFlare, som undersökte problemet och gav sin egen lösning, listade 25 länder med minst stöd och fann att denna lista "överlappar med listor över de fattigaste, mest repressiva och mest krigshärda länderna i världen." Mycket av de utvecklade världen kommer att sparas: i Nordamerika och Västeuropa är över 99 procent av webbläsare SHA-2 kompatibla. I Kina sjunker dock siffran till cirka 93 procent, och i Kamerun, Jemen, Sudan, Egypten, Libyen, Elfenbenskusten, Nepal, Ghana och Nigeria är det ungefär 95 procent. Utsläppsprocenten verkar låg, men i sammanhang uppgår det till ett svindlande antal internetanvändare.

Slutresultatet är att den överväldigande majoriteten av användare som kommer att vända sig bort från SHA-2-rittet kommer att vara de som mest behöver komma åt webbplatserna. (Tänk på Facebook och Twitter påverkan på den arabiska våren). Dessutom kan länder som fortfarande rutter infrastruktur via föråldrade plattformar bli utsatta för attack.

Den 31 december 2015 kommer några av internetets största webbplatser att vara begränsade till nästan 40 miljoner användare. Ett förnuftigt men tufft nyårs upplösning för att uppgradera krypteringstekniken kommer att blockera cirka 5 procent av utvecklingsvärldens online-befolkning från säkra, certifierade webbplatser som Google, Facebook och Twitter.

Om din telefon är mer än fem år kommer du också att bli utesluten.

Det beror på ett drag till krypteringstekniken SHA-2 från föregångaren SHA-1. Det är lite förvirrande men här går det: Före SHA-1 använde mobiltelefoner krypteringstekniken MD5, som 2008 visade sig vara osäker. Det var inte förrän 2013 som MD5 helt fasades ut och SHA-1 blev regeln.

Snart spräckde säkerhetsexperter SHA-1. Och med snabbare och snabbare datorer blir det billigare och billigare att knäcka SHA-1-platser: En studie från 2012 varnade för att det skulle kosta ungefär 2,77 miljoner dollar att göra det, siffran 2015 kommer att falla till 700 000 dollar. (År 2018 sjönk uppskattningen till 173 000 dollar, och år 2021 var det bara $ 43 000.) Nu när det är 2015, men - som Ars Technica rapporter - "Forskare tror att en sådan attack skulle kunna utföras i år för $ 75.000 till $ 120.000."

Detta är oroligt, eller anmärkningsvärt, av två skäl. För det första är de webbplatser som kräver högsta säkerhetsnivå de webbplatser som får mest trafik, de webbplatser som är mest populära. Återigen inkluderar dessa (men är inte alls begränsade till) Google, Facebook och Twitter, och deras tillhörande webbplatser. För det andra är användarna vars enheter inte passerar baren främst belägna i utvecklingsnationer, ofta nationer härskade av krig och orättvisa.

CloudFlare lösning, som Facebook reproducerar, är att möjliggöra "SHA-1 fallback". Användare som annars skulle blockeras från CloudFlare eller Facebook-webbplatser kommer istället att få tillgång under SHA-1-skydd. Det här är inte en idealisk lösning - säkerhetsfelet kommer fortfarande att finnas - men det kommer åtminstone att bli mindre uteslutande.

(Vi har redan övergått till SHA-2 här på Omvänd. Om du läser den här artikeln kan du vara säker på att du kommer få tillgång till dina favoritwebbplatser 2016.)

$config[ads_kvadrat] not found