En säkrare typ av kryptering som snart kommer att krävas för att skydda Internet-användares uppgifter, men äldre enheter saknar stöd för det.
Människor i utvecklingsländer, som ofta är beroende av funktionen telefoner som sin huvudsakliga anslutning till Internet, kommer att vara de som drabbas hårdast av SHA-1-pension.
Rädsla för förlust av Internet-användarna i några av världens fattigaste och mest förtryckta regioner, teknikleverantörer Facebook och CloudFlare är ringa för en mjukare övergång till en ny Webb kryptering standard som kommer att skydda allt från sociala medier webbplatser för online-transaktioner.
Början på januari 1, webbläsare kommer börja blockera tillgången till webbplatser som använder vad som kallas SHA-1 algoritm, med målet att ersätta den med sin efterträdare, SHA-2, fram till 2017. Facebook och CloudFlare, som ger trygghet och snabba förbindelser för webbsidor, vill tillåta användare med SHA-2-inkompatibla enheter att fortsätta att använda SHA-1, medan det fortfarande sunsetting SHA-1 för resten av världen.
När internetanvändare söker en krypterad webbplats, två-vägs utbyte av information är skyddad del av en kryptering verktyg som kallas en hash-funktion. Dessa algoritmer sin tur ett meddelande till ett unikt virrvarr av bokstäver och siffror som ger den information som kom från rätt källa. Om du ser “https” i WEBBADRESSEN för den webbplats som du besöker kan använda SHA-1. Det är dessa platser som kommer att börja med att vara blockerad från att en liten population av användare på Webben senare i veckan.
Sedan mitten av 1990-talet, två hash-funktioner har varit de främsta beskyddare av konsumenternas webbläsare. Som datorkraft droppar i kostnad, den lätthet med vilken de verktyg som kan vara knäckt har ökat. Den andra, som kallas MD5-algoritmen, var pensionerad 2008 efter att forskarna exponerade allvarliga säkerhetsbrister. Kostnaden för att förfalska ett SHA-1 hash-funktion idag uppskattas till runt $100.000—en siffra som kommer att fortsätta att sjunka.
“Människor har en slags sa,” Hej vi har sett den här filmen förut, och vi vet vad som är potentiellt kommer och risken blir högre och högre,” CloudFlare VD Matthew Prince säger.
Den mest effektiva lösningen är att ersätta SHA-1 med mer sofistikerade SHA-2. Men medan MD5 och SHA-1 har varit förenlig med konsument-enheter från början, SHA-2 släpptes 2001. Människor med gamla enheter, främst låg-kostnad som har telefoner som används i utvecklingsländer i Asien och Afrika kan vara avskurna från tillgång till krypterade webbplatser och har inte resurser för att uppgradera. CloudFlare uppskattningar 6.08 procent av webbläsare i Kina inte har stöd för SHA-2. I Syrien, det är 3.63 procent.
Richard Barnes, chef för säkerheten på Mozilla, säger företaget har endast 3 procent av Webben fortfarande stöder SHA-1.
“Störa dessa användares erfarenheter är faktiskt bra för Webben,” Barnes säger. “Använda gamla programvaran är farligt, förutom att kräva trasiga kryptografi, gamla program oftast har andra säkerhetsproblem som har varit fast i en mer aktuell version.”
Om det inte finns någon anledning att fortsätta stödja SHA-1, det är så att användarna har tid att ladda ner ny programvara som har stöd för uppgradering, Barnes säger. Firefox faktiskt avstängd SHA-1 stöd förra året, men då återinförs efter det att märka en stor nedgång i Firefox nedladdningar. Människor med äldre webläsare kunde inte ansluta till mozilla.org för att ladda ner den nya SHA-2-kompatibel programvara.
Som design och kostnaderna fortsätter att sjunka, SHA-2 kommer så småningom att bli svag och det är nödvändigt att ersätta. Många aktuella enheter har inte stöd för SHA-3. Teknik som quantum computing skulle plötsligt göra hela raden av algoritmer omedelbart förstöras.
“Detta är en övning som vi kommer att gå genom tid och gång på gång,” säger Prins. “Att införa en mekanism för att på ett ansvarsfullt sätt stödja det förflutna samtidigt som flyttar till framtiden är en bra sak och kommer att göra att övergången mycket lättare.”