Es ist ein schlechtes Zeichen, aber es ist immer noch sehr unwahrscheinlich, dass die Verbindung abgehört wird.

Auf der Website scheint ein gültiges Zertifikat von einer Zertifizierungsstelle signiert zu sein, aber es ist mit einem schwachen signiert und veralteter Hash-Algorithmus.

Was bedeutet das?

Dies bedeutet, dass die Verbindung verschlüsselt ist und ein passiver Lauscher immer noch nicht mithören kann. Aber ein entschlossener Angreifer mit Zugriff auf viel Rechenleistung könnte ein gefälschtes Zertifikat für diese Website erstellen und es verwenden, um sich als Website auszugeben. Es ist also möglich, dass Sie sich nicht auf der Website befinden, von der Sie glauben, dass Sie sie sind, sondern auf einer Website, die von einem Hacker kontrolliert wird. Ein solcher Angriff würde jedoch eine Menge Ressourcen erfordern und zusätzlich die Kontrolle über einen Router zwischen Ihnen und der Website erfordern.

Aber selbst wenn wir davon ausgehen, dass kein Angriff stattfindet, sollten wir weitermachen Kümmere dich darum, welchen Eindruck das macht. SHA-1 ist seit einiger Zeit veraltet. Wenn sich die Administratoren dieser Site immer noch nicht um Aktualisierungen kümmern, ist dies ein ziemlich schlechtes Zeichen für ihre allgemeine Kompetenz. Es könnte bedeuten, dass sie auch in Bezug auf andere Aspekte der Sicherheit ihrer Website ziemlich nachlässig sind. Die endgültige Entscheidung, welche Informationen Sie ihnen zur Verfügung stellen, liegt bei Ihnen.

Wie andere bereits gesagt haben, ist das Risiko für einen MiM-Angriff technisch gering. Dies hat jedoch ein größeres Problem und eine größere Auswirkung.

Soll ich meine Kartendaten eingeben und für etwas auf dieser Website bezahlen?

NEIN, SIE SOLLTEN DIESE WEBSITE NICHT FÜR EINE KARTENTRANSAKTION VERWENDEN

Das SSL-Problem ist, wie von anderen angegeben, relativ gering. Die Verwendung eines SHA-1-Hashs bedeutet jedoch zwei sehr wichtige Dinge.

1. Sie haben PCI DSS nicht befolgt Empfohlene Vorgehensweise. Die Verwendung von SHA-1 beim Signieren von Zertifikaten oder bei der Verschlüsselung selbst wird nicht empfohlen und muss während eines AVS (Automated Vulnerability Scan) mit einer Ausnahme versehen werden. Das bedeutet, dass sie beim letzten PCI-Scan alles daran setzen mussten, um zu bestehen, weil sie nicht den besten Praktiken folgten. SHA-1-Hashes können nur unter bestimmten Umständen und nur zur Unterstützung älterer Setups verwendet werden. Sie müssen immer einen anderen Hash unterstützen. Da Sie Windows 10 verwenden, unterstützen Sie die neueren Hashes nicht.
2. Wenn sie sich nicht die Mühe machen können, diese sehr einfache, einfache und erforderliche Zertifizierung durchzuführen, kümmern sie sich einfach nicht genug um die Sicherheit Ihrer Kreditkarte, um sie damit zu vertrauen.
ol>

Wichtige Hinweise:

• Ich helfe Kunden ständig bei der PCI-Konformität. Es ist ziemlich einfach und unkompliziert. Es dauert "einige Zeit", aber es ist eine sehr kleine Investition, wenn Sie mit Karten umgehen. (vielleicht 2-3 Tage mit 1-2 Stunden pro Tag, nach einem großen Schub von 4 Stunden am ersten Tag, dem ersten Mal, bei dem meistens die Regeln gelesen werden, um die niedrigste PCI-Konformität zu erreichen)
• In keiner Weise ist ein PCI-Konformitätsaufkleber ein "Ich bin nicht hackbares Etikett". Dies bedeutet nur, dass Sie ein Minimum an Maßnahmen ergriffen haben, um die Kartendaten zu schützen. In mancher Hinsicht ist es nicht einmal "genug", sondern eher ein Ausgangspunkt.
• Es gibt verschiedene Stufen der PCI-Selbstzufriedenheit, aber die niedrigsten Stufen (für Websites, die die Transaktion an einen Dritten wie Paypal übergeben, um die eigentliche Datenerfassung und -verarbeitung durchzuführen) können kein SHA-1-SSL-Zertifikat verwenden selbst.
• Alle mir bekannten Zahlungsgateways (wie PayPal), mit denen Sie Transaktionsdetails (nicht nur eine Schaltfläche "Jetzt kaufen") eingeben können, müssen die niedrigste Stufe der PCI-Konformität aufweisen.

Hinweis Beim Schreiben dieser Antwort und mit Kommentaren mussten wesentliche Änderungen an der Antwort vorgenommen werden. Kurz gesagt, die Verwendung von SHA-1-Hashes in einer PCI-kompatiblen Einstellung ist sehr unklar und basiert auf einem Netz unterschiedlicher Regeln, um dies zu ermöglichen. Obwohl dies derzeit in aktuellen PCI-DSS-Setups nicht verboten ist, wird es bald so sein. Derzeit ist dies nur zulässig, wenn eine Kombination von Klauseln ungerade / alte Client- (Browser-) Konfigurationen unterstützt. Vor allem die "Older SSL" -Klauseln, die unsichere SSL-Setups mit anderen Sicherheitsmaßnahmen ermöglichen, um ältere Browser (z. B. IE6) zu unterstützen. Diese Antwort hat sich stark verändert, um dies widerzuspiegeln. Die folgenden Anmerkungen stammen aus der ursprünglichen Antwort, zeigen jedoch, IMO, einen wichtigen Prozess.

Hinweis Nach einigen Recherchen ist diese Antwort, die hauptsächlich auf der Tatsache beruht, dass sie sich überhaupt nicht um die Durchführung des PCI-Audits gekümmert haben, größtenteils falsch . Sie hätten das PCI-Audit abschließen können. Davon abgesehen ist die allgemeine Idee immer noch wahr. Wenn sie das SHA-1-Problem "umgangen" haben, anstatt nur auf "etwas anderes" zu aktualisieren, dann steht meine Meinung. Beachten Sie, dass das Zulassen von SHA-1 für "alternde, alte und ältere" Systeme gedacht ist und nicht als fortlaufende Praxis. Sie müssen jetzt (heute) einen Migrationsplan haben, um das Audit zu bestehen.

Weitere Hinweise Ich muss dies ansprechen und diese Antwort bereinigen, aber laut "den Dokumenten" gibt es einige allgemeine Regeln. Erste ältere Sites können SHA1 weiterhin als Verschlüsselungs- oder Signaturoption anbieten, jedoch nur, wenn auch andere, stärkere Optionen verfügbar sind. Neue Websites können SHA-1 überhaupt nicht anbieten. Alle Sites, die SHA-1 verwenden, müssen über einen Migrationsplan verfügen. (AVS sollte automatisch ausfallen, aber Sie können eine Ausnahme bekommen). Schließlich gibt es ein klares Stichtag für SHA-1 (obwohl es noch einmal verschoben werden kann)

Dies bedeutet, dass das von der Site verwendete Zertifikat einen veralteten Signaturalgorithmus verwendet, um die Zertifikatidentität zu bestätigen. Google zielt seit einigen Jahren aggressiv auf SHA-1-Signaturen für Site-Zertifikate ab, da es einige theoretische Angriffe gibt, die dazu führen könnten, dass ein betrügerisches Zertifikat eine gültige Signatur hat, obwohl es keine Beweise dafür gibt, dass dies in freier Wildbahn geschieht. Darüber hinaus würde die Angriffsmethode einen erheblichen Aufwand erfordern und ist für andere als wirklich hochwertige Ziele wahrscheinlich nicht rentabel.

Der Hauptgrund für die Warnungen besteht darin, Websitebesitzer zu ermutigen, auf sicherere Aktualisierungen zu aktualisieren Signaturmethoden, die normalerweise kostenlos oder kostengünstig bei ihren Zertifikatsanbietern erhältlich sind, aber einen längeren Schutz bieten, wenn sich die Computertechnologie verbessert - dieser Prozess dauerte im Fall von MD5, dem Vorgänger von SHA-1, 16 Jahre. Das Zertifikat selbst ist nicht schwächer als jedes andere - tatsächlich ist es technisch möglich, dass ein einzelnes Zertifikat sowohl mit der SHA-1- als auch mit der SHA-256-Methode signiert wird. Möglicherweise enthält das Zertifikat andere Schwachstellen, die anhand der bereitgestellten Screenshots jedoch nicht erkennbar sind.

Insgesamt deutet dies auf einen leicht mangelhaften Sicherheitsansatz der Website hin, bedeutet jedoch nicht, dass Ihre Karte vorhanden ist Details werden wahrscheinlich während des Transports gestohlen. Es kann sinnvoll sein, sich an das Unternehmen zu wenden, um auf diesen Fehler hinzuweisen, und vorzuschlagen, das Zertifikat zu aktualisieren, insbesondere wenn Sie regelmäßig Einkäufe von dort tätigen müssen.

Siehe auch https://konklone.com / post / warum-google-eilt-das-web-um-sha-1 zu töten für weitere Details dazu.

Andere haben die Probleme beim Abrufen der Karteninformationen auf die Website festgestellt, aber Sie müssen auch darüber nachdenken, wie sie diese Informationen intern verarbeiten. Ich habe einmal bei einem Dotcom gearbeitet, der Kreditkarteninformationen in Klartext in unserer Datenbank gespeichert hat. Jeder, der Zugriff auf Kundeninformationen hat, kann diese sehen.
Lazy-Zertifizierung ist nur die Spitze des Eisbergs, IMO.

Abgesehen von der normalen Art von Philip Dick-Paranoia, die Ihnen sagt, dass nichts so ist, wie es scheint, kann nichts daraus abgeleitet werden, dass Chrome Sie darauf aufmerksam gemacht hat, dass eine Site SHA-1 für die Signatur ihres Zertifikats verwendet . Google sagte, dass sie dies bereits 2014 tun würden. Sie könnten mit Chrome auf Amazon.com sein. Tatsache ist, dass Chrome eine Warnung ausgibt, wenn Amazon noch nicht mit der Verschlüsselung der Signaturen seiner Zertifikate mit SHA-2 begonnen hat.