Wie funktioniert SSL/TLS
SSL steht für Secure Sockets Layer, was ins Deutsche etwa mit „sichere Transportschichten“ zu übersetzen ist. Obwohl umgangssprachlich meistens SSL verwendet wird, müsste deshalb aus technischer Sicht von TLS - Transport Layer Security gesprochen werden.
Die Bezeichnung „sichere Transportschichten“ ist deswegen treffend, weil SSL üblicherweise genutzt wird, um die Übertragung von Daten über ursprünglich unsichere Übertragungswege (http://, SMTP, …) kryptografisch abzusichern.
SSL-Handshake
Durch die Eingabe einer https:// statt einer http-Adresse signalisiert der Rechner des Anwenders, dass eine SSL-gesicherte Verbindung aufgerufen werden soll. Hierdurch baut der Browser eine Verbindung zum gewünschten Webserver auf.
Im weiteren Verbindungsaufbau tauschen Server und Client verschlüsselte und signierte Informationen aus, welche die Authentizität des Webservers sowie der Betreiberdaten prüfen und die Basis für die folgende symmetrisch verschlüsselte Kommunikation bilden.
Der Webserver antwortet mit signierten Daten, die dem Browser die Authentifizierung des Servers und außerdem die Aushandlung eines gemeinsamen symmetrischen Schlüssels ermöglichen, der die Basis für die folgende verschlüsselte Kommunikation darstellt.
Bei aktuellen Browsern und Servern findet dieser Schlüsselaustausch nach dem Diffie-Hellman-Prinzip statt. Hierüber teilen Client und Webserver ein „privates Geheimnis”, so dass selbst bei abgehörten Verbindungen der geteilte Schlüssel nicht errechenbar ist.
Wurde eine verschlüsselte Verbindung erfolgreich hergestellt, zeigen dies die Browser in der Regel über ein Schlosssymbol in der Adresszeile an. Bei Extended Validated Zertifikaten (EV-Zertifikate) wird zusätzlich der Betreiber der Website aufgeführt. Je nach Browser variiert die Darstellung etwas.
Die Verschlüsselung der Kommunikation bei der Verwendung von EV-Zertifikaten erfolgt nach dem gleichen Prinzip und Sicherheitsstandard wie die der Basiszertifikate, lediglich die Identitätsprüfung durch die ausstellende Zertifizierungsstelle wird strikter und umfangreicher durchgeführt.
Zusammenfassung der Vorteile von SSL/TLS
- leistungsstarke Ende-zu-Ende-Verschlüsselung
- Identität des Webserver-Betreibers steht fest
- es ist sichergestellt, dass alle Daten vollständig und unverändert übertragen werden
Falls beim Aufbau der SSL-Verbindung Probleme festgestellt werden, warnt der Browser den Nutzer in der Regel über eine Fehlermeldung und in der Adresszeile wird kein Verschlüsselungssymbol angezeigt.
(weitere technische Details zum SSL-Handshake z.B. unter http://support2.microsoft.com/kb/257591/de)
Warum sollte SSL eingesetzt werden
Der Einsatz einer SSL-Verschlüsselung ist insbesondere immer dann ratsam, wenn sensible oder persönliche Daten übertragen werden. Hierunter fallen Zahlungsvorgänge, Datenübertragungen aus mit Login geschützten Bereichen sowie Formulare mit personenbezogenen Daten wie Kontaktformulare oder und natürlich Eingaben in Suchformulare.
Die verschlüsselte Übertragung einer kompletten Website stellt darüber hinaus sicher, dass der Nutzer tatsächlich auch die Informationen erhält, die auf dem Webserver bereitgestellt werden. Beispielsweise wird somit verhindert, dass in ungeschützten WLAN-Netzwerken ungewollte Inhalte und Werbung eingeblendet werden, die nicht vom Betreiber der Website stammen.
Die Verwendung von SSL führt zwar zu höheren Serverlasten, was insbesondere beim Betrieb von hochfrequentierten Websites zu beachten ist, unserer Meinung nach überwiegen aber die oben genannten Vorteile beim Einsatz von SSL deutlich.
SSL als SEO Faktor
Nachdem Google die Internetsicherheit als ein Unternehmensziel ausgerufen hat und seit 2011/12 die eigenen Suchergebnisse ausschließlich SSL-verschlüsselt ausgibt, hat der Suchmaschinenbetreiber im August 2014 offiziell verkündet, dass die SSL-Verschlüsselung in die lange Liste der Rankingsignale aufgenommen wurde. Betroffen sind derzeit weniger als 1% aller Suchanfragen, so dass nicht zu erwarten ist, dass ein SSL-Zertifikat zu signifikanten Rankinggewinnen führen wird. Allerdings schließt Google eine stärkere Gewichtung für die Zukunft nicht aus, um die Verbreitung von sicheren Übertragungswegen im Internet zu beschleunigen.
(siehe: http://googlewebmastercentral.blogspot.de/2014/08/https-as-ranking-signal.html)
Die Sicherheit und Einrichtung bestehender SSL-Zertifikate kann unter https://www.ssllabs.com/ssltest/ getestet werden. Die SSL-Konfiguration der Computer Manufaktur erzielte beim automatisierten Test von SSLlabs die höchst mögliche Bewertung A+ (Stand Nov. 2014, die Testanforderungen werden regelmäßig aktualisiert, was zu Schwankungen bei der Bewertung führen kann).
https://www.ssllabs.com/ssltest/analyze.html?d=computer-manufaktur.de
Wie schneidet Ihr Webserver beim SSL Test ab?
Fragen zur optimalen Einrichtung einer SSL-Verschlüsselung auf Ihrem Webserver oder zur Serverwartung allgemein beantwortet unser IT-Service unter officecomputer-manufakturde bzw. telefonisch unter 030 2124 895-0. Gerne unterbreiten wir Ihnen ein Angebot über die Umsetzung von SSL.
