Zum Hauptinhalt springen
Version: 24f

Browserzertifikate 1

Während früher sämtliche Informationen im Internet unverschlüsselt übertragen worden sind, werden die meisten Verbindungen heutzutage mit kryptographischen Mitteln geschützt.

Insbesondere nutzen momentan (März 2021) gemäss W3Techs2 über 70% aller Webseiten HTTPS. HTTPS ist eine Erweiterung des HyperText Transfer Protocols, der Buchstabe «S» steht für Secure.

Damit wird der Datenverkehr in beiden Richtungen verschlüsselt:

  • alle Daten, die vom Webserver zum Browser übertragen werden (also der Inhalt der Seite wie z.B. Text, Bilder, Videos, heruntergeladene Dateien, ...)
  • alle Daten, die vom Browser zu Webserver übertragen werden (also ausgefüllte Formulare wie z.B. Benutzernamen und Passwörter, aber auch alle Texte, die wir eingeben sowie sämtliche hochgeladenen Dateien, ...)

Symmetrische und asymmetrische Verschlüsselung​

Die Daten werden symmetrisch verschlüsselt, der Sitzungsschlüssel asymmetrisch.

Da die Browser nicht jeden einzelnen öffentlichen Schlüssel der Webseiten (dies sind gemäss internet live stats hunderte Millionen3) kennen können, vertrauen sie ausgewählten Zertifizierungsstellen. Der öffentliche Schlüssel einer Webseite wird von einer Zertifizierungsstelle digital signiert. Das so entstandene Zertifikat wird beim Verbindungsaufbau übertragen und kann vom Browser überprüft werden.

Webseitenzertifikate --width=400px
Webseitenzertifikate

Das Schloss vor der URL zeigt die Verwendung von HTTPS (und Webseitenzertifikaten) an. Beim Klicken auf das Schloss können «Weitere Informationen» zur Verbindung angezeigt werden (unter Firefox):

Informationen zur Webseite
Informationen zur Webseite
Webseitenzertifikat​

Was finden Sie alles über die Zertifikate der Webseite des Gymnasiums Biel-Seeland heraus?

SSR
Kryptographische Details​

Im Screenshot oben sehen Sie die technische Angabe TLS_AES_128_GCM_SHA256, 128-Bit Schlüssel, TLS 1.3. Finden Sie heraus, was die einzelnen Teile aussagen?

SSR
Zertifizierungsstellen​

Finden Sie die im Browser gespeicherten «vertrauenswürdigen Zertifizierungsstellen»?

SSR
Zertifikatswarnungen​

Besuchen Sie die Webseite BadSSL und testen Sie mit verschiedenen Browsern verschiedene Konfigurationen. So lernen Sie die mögliche Zertifikatswarnungen kennen.

SSR

Achtung vor falscher Sicherheit​

Die Tatsache, dass bei einer bestimmten Webseite das Schloss angezeigt wird, heisst noch lange nicht, dass die Webseite sicher ist. Denn das Wort sicher hat mehrere Bedeutungen.

Was genau sagt das Schloss also aus? Worauf können wir vertrauen? Was hingegen kann trotzdem noch schiefgehen?

Was bedeutet sicher in diesem Zusammenhang?

  1. Die Verbindung ist vertraulich – niemand unterwegs kann mitlesen.
  2. Wir können sicher sein, dass wir mit dem genannten Server (resp. mit der angegebenen Webseite) kommunizieren.
  3. Die übertragenen Inhalte sind vor Manipulation geschützt.

Wo ist trotzdem Vorsicht geboten?

  1. Die URL (also die Webseitenadresse) muss ganz genau kontrolliert werden. Es nützt nichts, wenn die Verbindung verschlüsselt ist und der Server überprüft wurde, wenn wir mit dem falschen Server sprechen, weil wir zu wenig genau auf die URL achten.

    • www.bekb.com.evil.com/login ist keine gültige Webseite von BEKB, sondern eine Unterseite (Subdomain) von evil.com.

    • www.vaIiant.ch ist nicht dasselbe wie www.valiant.ch – auch wenn es fast identisch aussieht (achten Sie genau auf das «L»). In einer anderen Schriftart sieht man den Fehler besser: www.vaIiant.ch

      Absicherung mit Passwortmanager​

      Die Plugins von Passwortmanagern erkennen diese kaum sichtbaren details, so dass bei solchen Seiten kein Vorschlag zum automatischen Ausfüllen angezeigt wird.

  2. Die Webseite kann z.B. Malware verbreiten resp. gehackt worden sein. D.h. der «Inhalt» wird nicht überprüft.

  1. Quelle: rothe.io↩
  2. Quelle: W3Techs↩
  3. Quelle: internet live stats↩