ARinternet Webagentur

Sie wollen wissen was der Unterschied zwischen SSL und TLS ist? 
Was benötigen Sie für die Absicherung Ihrer Website?
Welches Verschlüsselungsprotokoll ist aktuell?

Verschlüsselungsprotokolle SSL und TLS

Was ist der Unterschied?

Das Verschlüsselungsprotokoll SSL (Secure Socket Layers - 1995 entwickelt) ist der Vorgänger des Verschlüsselungsprotokolls TLS (Transport Layer Security - 1999 entwickelt). Beide Protokolle gibt es in verschiedenen Versionen. Fast alle aktuellen Browser kennzeichnen Webserver mit veralteten Protokollen in der URL-Zeile (durchgestrichenes https, durchgestrichenes Schloss etc.). Deshalb sollte SSL 2.0 und 3.0 auf Ihrem Webserver deaktiviert werden und nur TLS aktiviert werden. Im allgemeinen Sprachgebrauch spricht man oft von SSL-Verschlüsselung, auch wenn es sich um TLS-Verschlüsselung handelt.

Ist TLS altuell oder veraltet?

Transport Layer Security, kurz TLS ist der wichtigste Standard für Verschlüsselung und Authentifizierung im Internet. Die Standards TLS 1.0 und 1.1 werden offiziell als veraltet eingestuft.

Die derzeit aktuelle Version ist TLS 1.2. Seit 2008 ist TLS 1.2 auch die von der IETF empfohlene Version. Die Nachfolgerversion TLS 1.3 ist nahezu fertig und steht damit kurz vor der Einführung. Laut heise will die IETF alte TLS Versionen verbieten.

PayPal und TLS 1.2

PayPal aktualisiert derzeit die Protokolle, die zur Absicherung aller externer Verbindungen genutzt werden. TLS 1.2 (Transport Layer Security version 1.2) und HTTP/1.1 (Hypertext Transfer Protocol version 1.1) werden 2018 Voraussetzung für die PayPal-Anbindung sein. Deshalb sollten Sie dafür sorgen, dass Ihre Webserver entsprechend konfiguriert sind, dass TLS 1.2 und HTTP/1.1 unterstützt werden.

- PayPal is upgrading the protocols used to secure all external connections made to our systems. Transport Layer Security version 1.2 (TLS 1.2) and Hypertext Transfer Protocol version 1.1 (HTTP/1.1) will become mandatory for communication with PayPal in 2018. You will need to verify that your environment supports TLS 1.2 and HTTP/1.1, and if necessary make appropriate updates.

Wie kann man die TLS Version prüfen?

FireFox

Chrome

F12

Zertifikate

Protokolle und Zertifikate sind nicht das gleiche!

Die Bezeichnung SSL/TLS-Zertifikat ist nicht ganz korrekt. Normalerweise müsste man von einem Zertifikat zur Verwendung von TLS sprechen. Das Zertifikat nutzt nur das darunter liegende Protokoll. Der Server muss für die Lauffähigkeit des Protokolls angepasst werden - unabhängig vom verwendeten Zertifikat.

Bei Verbindungen über TLS werden zur Serverauthentifikation Serverzertifikate verwendet. So wird festgestellt, ob der Server, mit dem man sich verbindet, der korrekte Ansprechpartner ist. Der User-Agent erhält beim Aufbau der Verbindung das Zertifikat vom Server. Damit überprüft er, ob der im Zertifikat genannte (Domain-)Name dem des Servers, mit dem er sich verbinden wollte, entspricht.

Wozu dient die verschlüsselte Übertragung mittels HTTPS?

• Vertraulichkeit: Dritte können die übertragenen Daten nicht mitlesen.
• Integrität: Gesendete Daten können während der Übertragung nicht unbemerkt verändert werden
• Authentizität: Kommunikationspartner sind durch die auf die Domain ausgestellten Zertifikate verifizierbar.

Was sind kompromittierte Zertifikate?

Wenn der private Schlüssel eines Zertifikats Unbefugten in die Hände gefallen ist spricht man von einem kompromittierten Zertifikat. Deshalb setzt beispielsweise Let’s Encrypt auf Zertifikate mit kurzer Laufzeit, da diese im Fall einer Kompromittierung (im Gegensatz zu Zertifikaten mit längerer Laufzeit) nicht so viel Schaden anrichten können.

Am Beispiel der Vorfälle bei Trustico und DigiCert zeigt heise auf, welche Auswirkungen kompromittierte Zertifikate haben können.

Wenn Sie Hilfe für die Umstellung Ihrer Website auf https benötigen, dann sprechen Sie uns an.