SSL und TLS: Verschlüsselung im Internet

Wann immer über den Web-Browser vertrauliche Informationen versendet werden (z.B. beim Online-Banking), sollte auf eine sichere Kommunikation durch Einsatz von Verschlüsselungs-Technologien geachtet werden. Wie SSL / TLS funktioniert und was außerdem beachtet werden muss, wird in dem folgenden Artikel erklärt.

SSL und TLS

Sowohl bei SSL (Secure Socket Layer) als auch bei TLS (Transport Layer Security) handelt es sich um ein Protokoll, dass Daten über eine verschlüsselte Verbindung im Internet überträgt. Dabei ist SSL der Vorgänger von TLS und entspricht nicht mehr dem aktuellsten Stand der Technik. Der Nutzer kann eine verschlüsselte Verbindung in seinem Browser an einem kleinen Schloss-Symbol erkennen (an unterschiedlichen Stellen) sowie an dem zusätzlichen „s“ bei http also „https“. Der Standard- Port für HTTPS-Verbindungen ist 443.

Bei beiden Protokollen handelt es sich um eine Verschlüsselung, bei der die Informationen bereits vor dem Versenden verschlüsselt und erst bei dem Empfänger entschlüsselt werden. Dabei wird mithilfe asymmetrischer Verschlüsselung ein gemeinsamer symmetrischer Sitzungsschlüssel ausgetauscht.

Die Protokolle authentifizieren den Kommunikationspartner und stellen die Integrität der transportierten Daten sicher.

Zertifikate: Prüfung der Authentizität und Sicherstellung der Integrität

Bei SSL und TLS handelt es sich „nur“ um Protokolle. Wichtige Informationen die diese Protokolle benötigen (z.B. zur Identität des Inhabers), befinden sich in einer Datei, die Zertifikat genannt wird. Dieser digitale Datensatz enthält alle benötigten Informationen, die zur Prüfung der Authentizität und Sicherstellung der Integrität notwendig sind.

Die digitalen Zertifikate werden von speziellen Zertifizierungsstellen ausgestellt (z.B. Bundesnetzagentur) und sind meist kostenpflichtig. Das Zertifikat ist vergleichbar mit einem Ausweis. Dieser wird von einer entsprechenden Behörde ausgestellt. Gerät man in eine Polizeikontrolle legitimiert man sich mit dem Ausweis um seine Identität zu bestätigen. Auch das Zertifikat stellt einen elektronischen Ausweis dar, der die Identität des Rechners bestätigt.

Wird ein Zertifikat von einer nicht vertrauenswürdigen Zertifizierungsstelle erstellt, lehnt der Browser üblicherweise die Verbindung ab oder zeigt dem Nutzer eine entsprechende Warnung an, dass dieser Seite nicht vertraut werden kann. Es gibt auch Zertifikatssperrlisten um veraltete oder unsicher gewordene Zertifikate für ungültig zu erklären. Idealerweise prüfen die Browser solche Listen regelmäßig und weisen gesperrte Zertifikate sofort ab.

Phishing und Extended-Validation-SSL-Zertifikat

Trotz verschlüsselter Verbindungen sind in der Vergangenheit oft vertrauliche Daten durch Phishing-Attacken abgefangen worden. Dabei geben sich gefälschte Online-Banking-Seiten als echt aus. Auch diese sind oft mit einer SSL/TLS-Verschlüsselung ausgestattet, so dass eine betrügerische Webseite unentdeckt bleibt. Zusätzlich besteht das Problem einiger fragwürdiger Zertifizierungsstellen, die bei der Vergabe von Zertifikaten nur oberflächliche Prüfungen durchführen.

Deswegen wurde von den Browserherstellern das Extended-Validation-SSL-Zertifikat (EV SSL Zertifikat) eingeführt. Sichere Browser zeigen zusätzlich in der URL-Zeile den Firmenname grün an, wenn ein EV SSL Zertifikat vorhanden ist und damit auch die Echtheit einer Webseite.  Beispiel anhand der Webseite der Deutschen Bank:

Damit besteht für Kriminelle eine zusätzliche Hürde, weil ein Firmenname in diesem Zusammenhang nicht missbräuchlich genutzt werden kann und nur bei den echten Webseiten angezeigt wird.

Die Ausgabe eines EV-SSL Zertifikates ist an strengere Vergabekriterien gebunden, wobei die Zertifizierungsstelle (die sich selbst zertifizieren muss) eine detaillierte Überprüfung des Antragstellers vornimmt.

IT-Forscher knacken SSL-Webseiten

Wichtig ist es immer auf dem neusten Stand der Technik zu sein. Noch immer setzen viele Server die veraltete Verschlüsselungstechnologie SSLv2 (SSL in der Version 2) ein und riskieren damit das Abhandenkommen vertraulicher Daten.

IT-Forscher haben diese Sicherheitslücke ausgenutzt und in einem sog. „Drown-Angriff“ HTTPS-Webseiten geknackt. Überraschend ist, dass jeder dritte Server noch die veraltete SSLv2 Technologie nutzt und somit für den Drown-Angriff anfällig ist. Dazu gehörten auch einige bekannte Dienste wie Flickr, Yahoo sowie Behördenseiten.

Dabei lassen sich die Angriffe ohne größeres IT-Know-How und sogar automatisiert durchführen.

In modernen Browsern wird SSLv2 nicht mehr unterstützt, da aber dieses Protokoll serverseitig eingesetzt ist, sind solche Attacken möglich. Brisant ist hierbei, dass der Angriff auch nur deswegen möglich ist, weil die USA in den 90er Jahren Browser-Hersteller dazu verpflichtet haben, Verschlüsselung absichtlich schwach zu halten. Um Server vor Drown-Angriffen zu schützen, muss SSLv2 abgeschaltet werden. Einen Leitfaden hat das Forscherteam auf ihrer Seite unter der der Überschrift „How do I protect my server?“ veröffentlicht.

Aber auch bei TLS kann einiges schiefgehen, wie kürzlich heise berichtet, wenn unsichere TLS-Varianten und Kryptosuiten gewählt werden.