Was ist eigentlich SSL bzw. TLS?
SSL ("Secure Socket Layer") bzw. dessen Nachfolger TLS ("Transport Layer Security") ist eine Verschlüsselungstechnologie, die entwickelt wurde, um Daten via Webbrowser über das Internet sicher zu übertragen (sichere Kommunikation bzw. Dokumentenübermittlung). Das bedeutet, dass vertrauliche Daten z.B. beim Online-Banking verschlüsselt werden und somit kein Dritter Zugriff auf diese hat. Zusätzlich zertifiziert es beispielsweise die Identität des Seitenbetreibers (je nach Zertifikat bzw. Validierungsmethode).
mehr Sicherheit auf Ihrer Internetseite, via SSL!
Technisch funktioniert die SSL-Verschlüsselung wie folgt.
Das SSL-Protokoll wird im Browser dadurch initiiert, dass dem bekannten http Protokoll ein s (s = secure, zu deutsch: sicher) in der URL der Verbindung angehängt wird (https://). Der angesprochene Server erkennt dies, und stellt den Browser den öffentlichen Schlüssel der Domain zu. Hierzu muss der Server natürlich ein passendes SSL-Zertifikat (einer unabhängigen und vertrauenswürdigen Zertifizierungsstelle) besitzen, damit es dies zurückschicken kann. Der Browser erhält dann vom Verzeichnisdienst der Zertifizierungsstelle die Information, ob das Zertifikat gültig ist. Anhand dieser übermittelten Daten kann der Browser nun überprüfen, ob er wirklich mit dem Server verbunden ist, der in der URL angegeben ist. Ist das der Fall, verständigen sich beide Seiten auf einen symmetrischen Sitzungsschlüssel. Diese Verständigung passiert in der sicheren asymmetrischen Verschlüsselung! Um wirklich auf Nummer sicher zu gehen, schickt der Browser dem Server vor dem Beginn des eigentlichen Datenaustausches einige Testnachrichten mit dem Sitzungsschlüssel. Diese kann der Server nur beantworten, wenn es wirklich der Server ist, der er zu sein vorgibt. Ab jetzt beginnt eine Sitzung, die mit einer symmetrischen Verschlüsselung wie AES und dem Sitzungsschlüssel gesichert ist.
Es gibt unterschiedliche Varianten von SSL-Zertifikate.
Nicht jedes SSL-Zertifikat ist gleichwertig! Es gibt so genannte Validierungsstufen, die einen unterschiedlichen Prüfumfang der "Certification Authority" bescheinigt und somit auch unterschiedliche Sicherheitsstandards darstellt.
Welche Validierungsstufen gibt es?
SSL-Zertifikate werden nach unterschiedlichem Prüfumfang also verschieden Validierungsmethoden unterschieden.
- Domainvalidierte SSL-Zertifikate (DV) bestätigen lediglich, dass der Besucher auf der im Zertifikat genannt Website sich befindet.
Domainvalidierte SSL-Zertifikate unterscheiden sich in Hinblick auf die Verschlüsselungsstärke nicht von Organisations- oder Extendedvalidation Zertifikaten!
Empfohlene Verwendung: Alle, die nur eine Verschlüsselung z.B. für einen Login bzw. Adminbereiche benötigen (sind die kostengünstigen SSL-Zertifikate). - Organisationsvalidierte SSL-Zertifikate (OV) ist die professionellere Variante, diese bestätigt über die Verschlüsselung hinaus noch die Identität des Seitenbetreibers. Die Besucher einer Website mit diesem Zertifikatstypen, können sicher sein, dass es dieses Unternehmen tatsächlich gibt.
Empfohlene Verwendung: eCommerce-Websites und alle, die beweisen möchten, dass ihre Website und ihr Unternehmen vertrauenswürdig ist. - Erweiterte validierte SSL-Zertifikate (EV) zeigen optisch in der Adresszeile des Browser sofort an, dass es die höchst verfügbare SSL-Sicherheit verwenden. Indem die Adresszeile grün eingefärbt wird und der Unternehmensname darin zusätzlich genannt wird. Die Zertifizierungsstelle nimmt hier eine sehr strenge Identitätsprüfung vor.
Empfohlene Verwendung: National und internationale Marken. Alle, die das äußerste Vertrauen ihrer Online-Besucher erhalten möchte, um z.B. Phishing-Angriffe auf ihrer Unternehmen zu verhindern.
SSL-Zertifikate können als Einzelzertifikat, Multidomain- und als Wildcard-Variante ausgestellt werden.
Durch ein SSL-Zertifikat wird gewährleistet:
- Nachrichtenschutz: Mit einem einmaligen Verschlüsselungsverfahren, verschlüsselt SSL alle Daten, die zwischen Server und Browser ausgetauscht werden, wie z. B. Kreditkartennummern und andere persönliche Daten. Dadurch wird garantiert, dass Dritten kein Zugriff auf persönliche Daten der SSL-Sitzung erhalten.
- Nachrichtenintegrität: Die Daten können über das Internet nicht manipuliert werden.
- Authentifizierung: Die Webseite gehört in der Tat der Organisation, die im Zertifikat als Inhaber eingetragen ist (in OV und EV Zertifikate).
Ein digitales Zertifikat ist somit eine Bescheinigung über die Identität, welche von einer unabhängigen und vertrauenswürdigen dritten Partei, der "Certification Authority" (CA), unterzeichnet wird. Also eine Art elektronische Urkunde oder die digitale Variante eines Ausweises im Internet. Die Zertifizierungsstelle verbürgt sich mit Ihrer Unterschrift für die Richtigkeit der im Zertifikat enthaltenen Daten.
Wer benötigt SSL?
Alle diejenigen, die auf Ihre Webseite den Besucher eine sichere und risikofreie Verbindung Anbieten möchten, um z.B. sensiblen Bankdaten, Kreditkartennummern oder sonstige schützenswerte Daten, verschlüsselt über das Internet zu transferieren.