Beiträge

Was ist eigentlich…SSL?

, ,
Was ist SSL

Im Internet einkaufen, Bankgeschäfte tätigen, Reisen buchen und vieles mehr wird immer beliebter. Privatpersonen können sogar ihre Steuererklärungen in der digitalen Form einreichen. Meist werden bei all diesen Aktionen jedoch sensible Daten weiter gegeben. Es ist wichtig, dass dies verschlüsselt geschieht. Das SSL-Zertifikat schafft hierbei Abhilfe, denn es verschlüsselt die gesendeten Daten.

Was bedeutet eigentlich SSL?

Das SSL-Zertifikat (Secure Socket Layer) sichert die Online-Kommunikation zwischen beiden Rechnern ab. Die Daten werden also verschlüsselt übertragen. Das Verfahren kann damit verglichen werden, dass ein Brief vor dem Versenden versiegelt wird. Layer bezeichnet dabei die Transportschichten, mit welchen der Datenaustausch zwischen den Rechnern bildhaft dargestellt wird. Es gibt viele Bereiche, in denen die Vertraulichkeit das oberste Gebot ist.

Auf SSL im Internet achten

SSL im Browser- Beispiel

Das Schloss neben der Adresszeile des Browsers zeigt an, dass es sich hier um eine sichere Verbindung handelt.

Dass eine Webseite SSL nutzt, lässt sich leicht erkennen. Es zeigt sich daran, dass die Internetseite am Anfang mit „https://“ beginnt. Dies zeigt, dass hier verschlüsselt mit dem Webserver kommuniziert wird. Folgende Zeichen weisen ebenfalls auf ein SSL-Zertifikat hin: Ein Schloss-Symbol, das im Browser oben oder unten angezeigt wird oder das Trustlogo auf der Seite, denn auch dies dürfen lediglich Inhaber eines SSL-Zertifikats nutzen. Eine grüne Adressleiste verdeutlicht, dass die höchste Sicherheitsstufe vorliegt. Die Besucher der Webseiten können in diesen Fällen sicher sein, dass die Daten durch Dritte nicht mitgelesen oder abgehört werden.

SSL ist bei den Suchmaschinen und Nutzern beliebt

Sichere Webseiten werden aus SEO-Sicht von Google und anderen Suchmaschinen mittlerweile bevorzugt. Webseiten und Onlineshops ohne SSL-Zertifikat werden demzufolge schlechter gereiht als Seiten, bei denen die Daten verschlüsselt übertragen werden. Dies hat natürlich Vorteile für den Kunden, der den Ergebnissen auf den ersten Seiten eher vertrauen kann als Webseiten, die weiter hinten gelistet werden. Das SSL-Zertifikat ist auf verschiedenen Wegen erhältlich, beispielsweise direkt beim Anbieter, also der Zertifizierungsstelle. Einfacher ist die Bestellung meist über den Webhosting-Anbieter.

Verschiedenen Arten von SSL

Verschlüsselung für EmailsSSL-Verbindungen gibt es auf Webseiten, aber ebenso beim E-Mail-Versand. Wer sensible Daten versendet, beispielsweise Ärzte oder Menschen, die im Finanzbereich arbeiten, sollten darauf achten, dass sie einen E-Mail-Server mit einer sicheren Verbindung wählen. Dem POP3 und SMTP werden in diesem Fall ein S hinzugefügt. Bei einer POP3S- oder SMTPS-Verbindung können Nutzer dementsprechend sicher sein, dass sie mit einem Sicherheitszertifikat ausgestattet sind.

Aus Sicherheitsgründen sollten zumindest alle Shops SSL nutzen. Hier werden zahlreiche persönliche Daten übertragen, bei denen es sich oftmals auch um sensible Bankdaten handelt. Diese dürfen nicht in falsche „Hände“ geraten. Es ist sogar empfehlenswert, dass generell für alle Webseiten SSL genutzt wird. Wenn sich Kunden auf einer gewöhnlichen Seite ohne Sicherheitszertifikat in ihr Kundenkonto einloggen, werden die Daten unverschlüsselt gesendet und damit ebenso das Passwort. Letztendlich muss aber auch erwähnt werden, dass es leider keine 100%-ige Sicherheit gibt, denn Seiten können gehackt werden.

Chrome stuft Symantec Zertifikate herab

, ,
Was ist eigentlich ein Browser?

Chrome (Google) stuft Symantec Zertifikate herab

Google tadelt Symantecs Vertrauenswürdigkeit |  Symantec Zertifikate im Chrome Browser herabgestuft

Der Streit zwischen Symantec als Zertifizierungsstelle und Google geht in eine neue Runde. Im Konkreten heißt das, dass zum Beispiel bei Thawte und Geotrust Zertifikate fortan nur noch mit der Bezeichnung sicher und nicht mehr mit dem Namen des Zertifikatsinhabers gezeigt werden.

Für Firmeninhaber ist die Herabstufung des gekauften SSL Zertifikats besonders ärgerlich, wenn sie bereits einige hundert Euro in die Zertifizierung investiert und so für die vertrauenswürdige Darstellung gesorgt haben. Symantecs Statement zur Herabstufung und später geplanten Annullierung der Zertifikate ist: verantwortungslos.

Wie handelt man als Zertifikatsinhaber?

Die erste Etappe der Herabstufung bezieht sich auf Google Chrome. Google erwähnt drastische Schritte, sodass es nicht bei der alleinigen Herabstufung bleiben wird. Vielmehr sollen aktuell als vertrauenswürdig gekennzeichnete Seiten mit SSL-Zertifikat zukünftig als nicht vertrauenswürdig eingestuft und im System annulliert werden. Rund 30.000 der ausgestellte Zertifikate entsprechen nicht den Richtlinien, so Google. Den Zertifikaten wird der EV Status entzogen, wodurch in der Adressleiste keine ausführlichen Informationen zum Inhaber der Domain ersichtlich sind. Websitebesucher nutzen die Informationen zur Kenntnisnahme, dass es sich um eine legitime Website und nicht um die Umleitung auf eine unsichere Domain handelt.

Die Herabstufung mit minderer Vertrauenswürdigkeit soll ein Jahr lang andauern, ehe weitere Schritte folgen und bis zur Annullierung der Seiten führen sollen. Der im Jahr 2015 aufkeimende Streit zwischen Symantecs Management und Google ist schwelend und wird auch in den kommenden Jahren kaum zur Ruhe kommen. Weltweit basieren über 40% aller Zertifikate auf Ausstellungen Symantecs, was enorme Auswirkungen für Zertifikatsinhaber und Internetnutzer haben wird. Doch kann aktuell keine Empfehlung zur Handlung gegeben werden, wenn alternative Zertifikate ausgeschlossen sind und Unternehmer kein zusätzliches Budget in die Hand nehmen möchten.

Vertrauensabbau soll zum Umdenken anhalten

Auf lange Sicht sollten Symantecs Zertifikate als unsicher eingestuft und nicht nur vom Browser, sondern auch vom User als nicht vertrauenswürdig betrachtet werden. Wenn Google den Zertifikaten misstraut, könnte dies für die vollständige Unerreichbarkeit der Websites sprechen. Würde die Vertrauenswürdigkeit über Nacht verändert, wäre ein Super-GAU mit enormen wirtschaftlichen Folgen unaufhaltsam.

Daher hat Google angekündigt, dass die Vertrauensspanne in ein Zertifikat des Streitpartners immer kürzer werden soll. Es ist die Rede davon, das sich der Zeitraum bei allen neuen Chromes-Versionen verringern soll. Anfänglich spricht man von 33 Monaten, in der Nachfolger-Version des Browsers sollen es nur noch neun Monate sein.

Für Zertifikatsinhaber und Websitebetreiber bleibt laut Google ausreichend Zeit, ihr Zertifikate gegen revalidierte Versionen zu tauschen und so für eine vertrauenswürdige Präsenz im Web zu sorgen.

Wenn zwei Internet-Riesen sich streiten

Wenn es zwischen zwei Internet-Giganten zu einem Streit kommt, zieht dieser schwere Folgen nach sich. So im Falle Google und Symantecs falschen Zertifikaten, die in 2015 erstmalig auffielen. Google forderte die CA auf, ihr Certificate-Transparency-Modell zu unterstützen. Eine Reaktion der Zertifizierungsstelle blieb aus. So kam es zur Androhung der Herabstufung, die nun offenbar im Jahr 2017 durchgesetzt wird. Anfang des Jahres gab es erneute Probleme mit Zertifikaten der CA, wodurch sich Google zur Handlung gezwungen und in der Aufgabe sieht, die Vertrauenswürdigkeit der Zertifizierungsstelle so zu präsentieren, wie sie sich durch falsche Zertifikate gezeigt hat.

Für Kunden, die über die Biteno GmbH ihr Zertifikat erworben haben, besteht keine Gefahr: Wir beraten Sie gerne wie Sie weiterhin sicher das https-Protokoll für Ihre Website bzw. ihre Domain nutzen können.

 

OpenVPN auf einer pfsense Firewall einrichten

,
verfasst am:
Kategorie:
Auszug:
Tutorial: OpenVPN auf einer pfsense Firewall einrichten Die Einrichtung von VPN Verbindungen erfordert ein sehr gutes Verständnis, wie ein TCP/IP-Netzwerk und Netzwerk-Sicherheit grundsätzlich funktionieren. Darüber hinaus sollten Sie Grundkenntnisse in Sachen Verschlüsselung und Zertifikaten haben. Sie werden (meiner Erfahrung nach) bei der Einrichtung eines VPN an irgendeiner Stelle auf Schwierigkeiten oder Hindernisse stoßen. Sowohl pfsense […]

Tutorials

OpenVPN auf einer pfsense Firewall einrichten

,
verfasst am:
Kategorie:
Auszug:
Tutorial: OpenVPN auf einer pfsense Firewall einrichten Die Einrichtung von VPN Verbindungen erfordert ein sehr gutes Verständnis, wie ein TCP/IP-Netzwerk und Netzwerk-Sicherheit grundsätzlich funktionieren. Darüber hinaus sollten Sie Grundkenntnisse in Sachen Verschlüsselung und Zertifikaten haben. Sie werden (meiner Erfahrung nach) bei der Einrichtung eines VPN an irgendeiner Stelle auf Schwierigkeiten oder Hindernisse stoßen. Sowohl pfsense […]