Individuelle Webentwicklung

Nicht immer ist eine Standardsoftware ausreichend um individuelle Anforderungen gerecht zu werden, wir schaffen Lösungen

Informationen
Bild: Individuelle Webentwicklung

Secure Sockets Layer: Wie funktioniert SSL

TCP/IP – Sicher und unsicher zugleich. Secure Socket Layer kurz SSL ist ein Verschlüsselungsprotokoll zur sicheren Datenübertragung. Die Transportschichten, auch Layer genannt, sind für den bildlich dargestellten Datenaustausch zwischen verschiedenen Rechnern verantwortlich. Alle Schichten zusammen stellen den Datenfluss der Rechner sicher, wobei auf der obersten Ebene die Anwendungen und auf der untersten Ebene die Hardware befindet. Im effektivsten und optimalsten Fall sind sieben Schichten definiert und jeder Schicht lässt sich ein Protokoll und wiederum auch ein Programm zuordnen. Fast 30 Jahre ist es her, dass TCP/IP als eine sichere und problemreduzierte Verbindung mit Hinblick auf eine hohe Betriebssicherheit erfunden wurde. Damals war die Sicherheit und Authenzität der zu übermittelten Daten noch nicht Hauptaugenmerk des Vorhabens. Prinzipiell deckt das TCP/IP Übertragungsprotokoll mindestens vier der Transportschichten ab und ist mit Ausnahme der Zuse-Rechner mit allen Betriebssystemen kompatibel. Außerdem ist es sehr robust und einfach zu implementieren, also betriebssicher.

Die Notwendigkeit von neuen Schichten

Grundlegend ist zu erwähnen, dass ohne TCP/IP kein Internet möglich wäre. Doch das Ziel sicherer Verbindungen im Sinne von Sicherheit der Daten konnte nicht maximal erreicht und umgesetzt werden. Netscape nahm sich deshalb diesem Problem an und erweiterte TCP/IP um zwei Schichten.

  • SSL Record Protokoll
  • SSL Handshake Protocol

Diese beiden neuen Schichten liegen unmittelbar aufeinander und gleichzeitig zwischen dem Aufgabenbereich und den Anwendungen bei TCP/IP. Trotz der großen Funktionalität der beiden Schichten während einer sicheren Verbindung, bleiben sie dennoch für die die anderen Anwendungen unbemerkt. Dies bedeutet, dass keinerlei Änderungen an den SSL Anwendungen oder gar an den Protokollen erforderlich werden. Sollte keine sichere Verbindung verfügbar sein, schaltet sich das SSL-Protokoll automatisch aus. Ansonsten verbindet sich der Rechner ausschließlich über den von SSL bereit gestellten sicheren Mechanismus.

SSL und sichere Verbindung

Grundsätzlich muss gesagt werden, dass ein SSL-Protokoll seine Arbeit aufnimmt, wenn an der üblichen http ein s angehängt wird. Beispiel: https://www.ssl.de. Dadurch fordert der Browser vom entsprechenden Server ein Zertifikat und den öffentlichen Schlüssel an. Der Browser erhält eine ID, den Schlüssel und eine Prüfsumme. Damit kann er nun prüfen, ob er tatsächlich mit dem in der URL angegebenen Server verbunden ist. Diese übertragenen Daten werden von einigen Zertifizierungsfirmen errechnet und die bekannteste ist die VeriSign. Die Firma Thawte aus Südafrika gehört zu VeriSign. Sollte nun der Browser die erforderlichen und erhaltenen Daten als korrekt ansehen gibt er dem Anwender entsprechende Informationen.

Diese sehen jeweils so aus:

  • Internet Explorer – es schließt sich das Bügelschloss
  • Navigator / Communicator – die sichere Seite wird durch den intakten Schlüssel signalisiert
  • Firefox – die gesamte URL im Adress-Feld ist gelb unterlegt

 

Vor dem eigentlichen Datenaustausch schickt der Browser dem Server einige Testnachrichten, welche nur von dem Server beantwortet werden können, für den er sich ausgibt. Beide Rechner verständigen sich nun auf einen gemeinsamen symmetrischen Schlüssel, auch Session Key genannt.

 

Zusammenfassung der drei Gesichtspunkte der sicheren SSL Verbindung

  • Durch die ausschließlich verschlüsselte Datenübertragung, bleibt die Verbindung im eigentlichen Sinne privat
  • Die Identifizierung des Servers steht fest
  • Um die Daten vollständig und unverändert an den Empfänger zu übermitteln, werden wirkungsvolle Algorithmen geprüft

Die Zertifizierung als zentraler Punkt des SSL-Protokolls

Mittelpunkt des SSL-Protokolls ist das digitale Schlüsselpaar, sowie die ID der Zertifizierungsstelle. Da bei jeder ID unter anderem der Domain-Name einfließt, benötigt jeder virtuelle Webserver ein eigenes Schlüsselpaar. Prinzipiell verfügt jede SSL-geschützte Homepage über eine eigene IP-Adresse. Es gibt Provider welche eine Vielzahl von Verbindungen und Daten mittels nur einer Maschine und nur einer IP-Adresse verarbeiten. Hierbei ist keine komplette Sicherheit garantiert, da die Bereitstellung des jeweiligen SSL-Zertifikates nicht mit dieser Arbeitsweise kompatibel ist. Bei einer Datenübermittlung, verbindet sich der Browser des Kunden nicht mit der eigentlich angeforderten Seite, sondern mit einem SSL-Proxy, einem Spezialserver, des Providers. Nur bis hier hin ist die Verbindung wirklich sicher und danach leitet der Proxy-Server dann alle Informationen an das eigentliche Ziel weiter. Dies ist dann keine sichere Datenübermittlung und Verbindung mehr. Provider die viele verschiedene Kundenserver untergebracht haben, bedeuten oftmals eine geringere Sicherheit, da dadurch eventuell die ungeschützten Daten und Verbindungen in nicht autorisierte Hände gelangen können.

Datenübertragungen die nicht garantiert sicher sind

Die Sicherheit von Datenübertragungen zwischen einer Domain auf einem Webserver und dem Besucher dieser Domain, wird durch das SSL-Protokoll gewährleistet. Der Besucher oder Kunde kann sich sicher sein, dass seine persönlichen Daten wie beispielsweise seine Kreditkartennummer bei der Übertragung zum Server des Webbetreibers geschützt sind. Einziges Sicherheitsproblem stellt die Weiterverarbeitung der Daten durch den Shopbetreiber dar. Außerhalb des SSL-Protokolls, kann nicht gesichert werden was mit den Kundendaten passiert. Bekannt geworden sind Fälle in denen sicher übertragende Daten anschließend ungesichert auf einem Server gespeichert wurden. Diese Daten sind dann für einen eventuellen Hackerangriff leicht auszuspionieren. Eine sichere SSL- Verbindung schützt also nicht davor, dass durch manuelle Fehler und Leichtsinnigkeit doch Daten in falsche Hände geraten können.

Folgende Übertragungen sind gängig, aber teilweise unsicher:

Online per SSL:

  • Sofern der Empfänger gleich dem Absender über eine SSL-gesicherte Verbindung über den Browser, oder über einen POP3-Abruf verfügt ist die Übertragung sicher. Danach sollten jedoch vom Empfänger die Daten des Kunden auf dem Server gelöscht werden, da das SSL-Protokoll lediglich für die Anlieferung der Daten zuständig ist. Diese Löschung liegt selbstverständlich im Ermessen des Shop-Betreibers und sollte gegebenenfalls durch den Kunden erfragt werden. Diese manuelle Arbeit erfordert vom Empfänger einen gewissen Mehraufwand.

per E-Mail:

  • Eine sehr beliebte aber gefahrvolle und unsichere Variante bietet die Sendung der Informationen und Daten per E-Mail. Es ist weit verbreitet unter Shop-Betreibern und SSL-Nutzern die übermittelten Daten in einer Textdatei zusammen zu fassen und als E-Mail dem Empfänger zu übersenden. Das ist ungefähr so, als ob man seine wertvolle Fracht mit großem Aufwand durch alle Fährnisse dieser Welt geschafft hätte, um sie dann unbewacht im Wartesaal des Hauptbahnhofes abzustellen.

PGP-verschlüsselt:

  • Eine sehr effektive Lösung der sicheren Datenübermittlung bietet die PGP-Verschlüsselung. Hierbei werden die gesammelten Daten und Informationen vor dem Versenden per E-Mail auf dem Server mittels PGP verschlüsselt. Dadurch kann ausschließlich der Empfänger die Informationen lesen und keine unbefugter Dritter hat Einsicht in diese Daten. Dies ist ein einmaliger Mehraufwand des Shop-Betreibers seitens des Providers und der weiterführende Ablauf ist dadurch gesichert.

 

Leider ist es nicht möglich zu erkennen, ob der Empfänger von vertraulichen Informationen auch wenn er über eine SSL-gesicherte Verbindung verfügt, auch gewillt ist diesen Mehraufwand zum Schutz der Kundendaten zu betreiben. Das Einsetzen des SSL-Protokolls ist nur eine halbe Sicherheit und jeder Shop-Betreiber sollte zum Verständnis für seine Kunden deutlich auf seiner Homepage sichtbar machen welche Sicherheitsvorkehrungen er trifft und einsetzt.

 

Folgende Varianten zur Sicherheit einer Webseite sollte der Betreiber überdenken:

  • Die Nutzung eines SSL-Proxy sichert lediglich die Übertragung der Daten zum Server und danach werden diese Informationen ungesichert weitergeleitet. Viele Massenhoster, welche zahlreiche Webseiten auf ihrem Server zu liegen haben nutzen mehrfach dieselbe IP-Adresse und dadurch kommt das Proxy zum Einsatz. Dies allein bietet keinen ausreichenden Schutz.
  • Grundlegend bieten Massenhoster mit fertigen Shops die Möglichkeit an, alle Daten und Informationen per SSL-gesicherten Web-Interface abzufragen oder sich diese per SSL-gesicherter E-Mail zusenden zu lassen
  • Standardmäßig werden alle auf www.ssl.de gesammelten Informationen für den Empfänger per PGP-verschlüsselt