ABAKUS

Verfasst: **13.12.2017, 10:11**

Hallo zusammen,

########### Sachverhalt ###########

die letzten Tage kamen zwei Meldungen ins Konto. Zwei Domains betroffen.

1) Outdated TLS ciphersuites are being used

Google has detected that your site is using an outdated TLS ciphersuite (ECDHE-RSA-AES256-SHA). As a result, it is easier for third parties to intercept the connection between your users and your site.

2) Outdated HTTPS configuration detected

Google has detected that your site is using an outdated TLS ciphersuite (ECDHE-RSA-AES256-SHA). As a result, it is easier for third parties to intercept the connection between your users and your site.

Ich habe die Domains mit https://www.ssllabs.com/ssltest/ getestet und dort wurde mir kein Fehler angezeigt. Auch hatte ich bisher nicht gehört, dass ECDHE-RSA-AES256-SHA ein Problem sei.

########### Frage ###########
1) Hat auch jemand von Euch so ne Nachricht erhalten?
2) Habt Ihr Hintergründe / Quellen, die bestätigen, dass die genutzte Verschlüsselung wirklich problematisch ist?
3) Was soll ich mit der Meldung anfangen, was soll ich tun?

Besten Dank Euch!

Verfasst: **13.12.2017, 12:47**

Statt "ECDHE-RSA-AES256-SHA" empfehle ich die neuere Cipher "ECDHE-RSA-AES256-SHA384" einzusetzen.
SHA ist zwar "nur" theoretisch gebrochen, aber man weiß ja nie.

Die angemahnte Cipher kommt nur noch in älteren Browsern ohne Alternative zum Einsatz.
Wenn die Mehrheit deiner Nutzer also mit mindestens Firefox 27, Chrome 30, IE 11/Windows 7, Edge, Opera 17, Safari 9, Android 5.0, oder Java 8 unterwegs ist, gibts auch keine Schwierigkeiten.

Verfasst: **13.12.2017, 16:56**

Hi, würde mal beim TLS Anbieter nachfragen mit der Mail bzw. der Chiffrennummer. Am Ende ist der Dienstleister ja dafür verantwortlich die Chiffrennummern up 2 date zu halten. Nutzt du http/2 bzw. wurde in letzter Zeit etwas implementiert auf der Seite?

Verfasst: **13.12.2017, 17:25**

Hi zusammen

@prox42: Verstehe ich Dich richtig, dass das Problem am Ende durch den Browser unserer Nutzer gelöst ist, wir also bei modernen Browsern kein Problem haben?

+ woher weißt Du, dass er theoretisch gebrochen wurde. Hast Du da einen Link für mich, auf dem ich mich zum Thema informieren, mal nachlesen kann?

@ABAKUS_Tim: Geändert wurde nichts. Nein. HTTPS nutzen wir und bei all unseren anderen Domains ist auch alles unproblematisch. Unser Dienstleister meint, dass alles in Ordnung und entsprechend aktuell ist. Der SSL Test bestätigt das ja auch, hier gibt's die Bestnote für uns.

Mein Problem ist nur, dass Google plötzlich mit dieser Meldung um die Ecke kommt und "Panik" verbreitet.

... Teil meiner Frage war ja auch, ob und in welchem Maße wir einen solchen Hinweis von Google ernst nehmen müssen.

Verfasst: **13.12.2017, 18:01**

Adversus hat geschrieben: @prox42: Verstehe ich Dich richtig, dass das Problem am Ende durch den Browser unserer Nutzer gelöst ist, wir also bei modernen Browsern kein Problem haben?

Das hab ich ungenau formuliert, Sorry.

Gemeint hatte ich: die oben genannte Browserliste braucht die alte Cipher.
Alle neueren Browser können mit der neuen Cipher arbeiten. Wenn ihr die alten Browser also nicht mehr unterstützen müsst, dann könnt ihr auf die neuere Cipher wechseln.

Diese Ciphern müssen aber im Webserver gelöscht bzw. hinzugefügt werden. Da die Neue nicht vorhanden ist (laut Google), sollte die Webserver-Konfiguration entsprechend geändert werden.

Adversus hat geschrieben: woher weißt Du, dass er theoretisch gebrochen wurde. Hast Du da einen Link für mich, auf dem ich mich zum Thema informieren, mal nachlesen kann?

Naja, das ist keine neue Info, bei Wikipedia gibt die Zusammenfassung in diesem Artikel: (darf hier noch keine Links setzen) Secure Hash Algorithm
oder einfach mal nach "sha broken" in der Suchmaschine deiner Wahl suchen.

Adversus hat geschrieben: Mein Problem ist nur, dass Google plötzlich mit dieser Meldung um die Ecke kommt und "Panik" verbreitet.

... Teil meiner Frage war ja auch, ob und in welchem Maße wir einen solchen Hinweis von Google ernst nehmen müssen.

Ich würde den Hinweis ernst nehmen. Du kannst mir gerne mal per PN die URL schicken, ich schaue mir das gerne mal unverbindlich an.

ABAKUS

Search Console: Outdated HTTPS und TLS Meldungen

Search Console: Outdated HTTPS und TLS Meldungen