Abo
  • Services:
Anzeige
Das Netz ist auf dem Weg zu HTTPS für alle Webseiten.
Das Netz ist auf dem Weg zu HTTPS für alle Webseiten. (Bild: Screenshot / bearbeitet: Hanno Böck)

Netzverschlüsselung: Mythen über HTTPS

Das Netz ist auf dem Weg zu HTTPS für alle Webseiten.
Das Netz ist auf dem Weg zu HTTPS für alle Webseiten. (Bild: Screenshot / bearbeitet: Hanno Böck)

Google will HTTP zum unsicheren Protokoll degradieren, der Trend geht zum verschlüsselten Netz. Daran gibt es auch Kritik, doch die beruht oft auf Missverständnissen.

Anzeige

Der Trend im Netz geht klar in Richtung HTTPS. Große Webseiten wie Facebook, Twitter oder Google sind längst nur noch verschlüsselt erreichbar. Vor allem Google treibt die Verschlüsselung des Netzverkehrs voran. Der Suchmaschinenriese bevorzugt HTTPS-Seiten inzwischen beim Indizieren. Langfristig soll der Chrome-Browser vor HTTP-Verbindungen ohne TLS warnen.

Während Google für seine Schritte von Kryptographen und IT-Sicherheitsexperten viel Lob erhält, gibt es auch Kritik. Die basiert aber häufig auf falschen Vorstellungen davon, wie HTTPS eigentlich funktioniert.

Mythos: HTTPS-Verschlüsselung für reine Inhalte ist nutzlos

Weit verbreitet ist die Annahme, dass HTTPS nur bei Webseiten mit Logins oder jenen, bei denen sensible Daten übertragen werden, etwas bringt. Wozu etwa ein Blog verschlüsselt übertragen, wenn die Inhalte sowieso jeder lesen darf?

HTTPS gewährleistet jedoch mehr als nur die Verschlüsselung von Inhalten. Eine abgesicherte Verbindung garantiert neben der Vertraulichkeit auch die Echtheit der übertragenen Daten. Anders ausgedrückt: Es wird gewährleistet, dass beim Nutzer auch wirklich das ankommt, was der Server abgeschickt hat. Dass Inhalte auf dem Übertragungsweg manipuliert werden, kommt häufig vor und führt zu realen Problemen.

Sehr aufschlussreich ist ein Eintrag auf der Webseite Stackoverflow: Der Fragende schreibt von einem WLAN in Cafés, deren Betreiber die Idee hatte, die Werbung auf den übertragenen Webseiten durch eigene Werbung zu ersetzen. Der US-Provider Comcast hat Ähnliches bereits in die Praxis umgesetzt und fremde Webseiten mit eigener Javascript-Werbung versehen. Schlagzeilen machte kürzlich auch der US-Provider Verizon, weil er ungefragt Cookies in übertragene Webseiten einbaute. Damit überwacht Verizon die Surfgewohnheiten seiner Kunden.

Ebenfalls denkbar ist natürlich, dass Angreifer unverschlüsselte Datenübertragung nutzen, um Malware in Webseiten einzufügen. Das könnte beispielsweise in offenen WLANs passieren oder auch bei Tor-Exit-Nodes. Dazu kommen harmlosere aber dennoch möglicherweise unerwünschte Manipulationen, etwa wenn Anbieter mobiler Netzzugänge Bilder zusätzlich komprimieren oder übertragene HTML-Daten optimieren.

Derartige Manipulationen von Daten auf dem Übertragungsweg sind nur möglich, weil gewöhnliche Verbindungen im Netz die Echtheit der übertragenen Daten nicht gewährleisten. Durch HTTPS weiß der Nutzer, dass die Daten, die er empfängt, auch wirklich vom angegebenen Server stammen.

Mythos: Zertifikate sind zu teuer

Vielfach wird eingewandt, dass die weitere Verbreitung von HTTPS nur dem Geschäft der Zertifizierungsstellen diene. Doch anders als noch vor einigen Jahren sind entsprechende Zertifikate heute sehr günstig zu bekommen. Die israelische Firma StartSSL, deren Zertifikat seit langem von allen Browsern akzeptiert wird, bietet sogar kostenlose Zertifikate. Im nächsten Jahr soll zudem die von Mozilla, der EFF und anderen getragene Zertifizierungsstelle Let's encrypt ihren Betrieb aufnehmen, die das Ziel hat, Zertifikate kostenlos und möglichst einfach auszustellen.

Bezahlen muss man heute für Zertifikate nur noch, wenn man Wildcard-Zertifikate oder Extended-Validation-Zertifikate nutzen möchte. Wildcard-Zertifikate gelten für mehrere Subdomains (etwa *.example.com), bei EV-Zertifikaten wird nicht nur der Besitz der Domain, sondern auch der Inhaber überprüft, und im Browser wird etwa der Firmenname in einer grünen Leiste angezeigt. Für einfache Webseiten reichen kostenlose Zertifikate völlig aus.

Mythos: HTTPS ist viel zu langsam 

eye home zur Startseite
hjp 22. Dez 2014

Als ich das vor einiger Zeit bei StartSSL probiert habe, ging das ebenfalls über ein...

hjp 22. Dez 2014

Der Schlüssel wird bei dem von mir beschriebenen Verfahren eben nicht von der CA...

spiderbit 19. Dez 2014

naja 1. wird der key automatisch erzeugt 2. ist die aufnahme der ausname ein y enter...

HubertHans 19. Dez 2014

Ich glaube du hast es nicht richtig gelesen und bist den Uebertreibungen aufgesessen...

jaykay2342 19. Dez 2014

Ach bei Java ist noch viel mehr kaputt :P



Anzeige

Stellenmarkt
  1. atg Luther & Maelzer GmbH, Wertheim Raum Würzburg
  2. WEGMANN automotive GmbH & Co. KG, Veitshöchheim
  3. dSPACE GmbH, Paderborn
  4. Media-Saturn IT-Services GmbH, Ingolstadt


Anzeige
Blu-ray-Angebote
  1. 36,99€ (Vorbesteller-Preisgarantie)
  2. 9,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Tipps für IT-Engagement in Fernost
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Sicherheitskonzeption für das App-getriebene Geschäft


  1. Spionage im Wahlkampf

    Russland soll hinter neuem Hack von US-Demokraten stecken

  2. Comodo

    Zertifikatsausstellung mit HTML-Injection ausgetrickst

  3. Autonomes Fahren

    Mercedes stoppt Werbespot wegen überzogener Versprechen

  4. Panne behoben

    Paypal-Lastschrifteinzug funktioniert wieder

  5. Ecix

    Australier übernehmen zweitgrößten deutschen Internetknoten

  6. Die Woche im Video

    Ab in den Urlaub!

  7. Ausfall

    Störung im Netz von Netcologne

  8. Cinema 3D

    Das MIT arbeitet an 3D-Kino ohne Brille

  9. AVM

    Hersteller für volle Routerfreiheit bei Glasfaser und Kabel

  10. Hearthstone

    Blizzard feiert eine Nacht in Karazhan



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Core i7-6820HK: Das bringt CPU-Overclocking im Notebook
Core i7-6820HK
Das bringt CPU-Overclocking im Notebook
  1. Stresstest Futuremarks 3DMark testet Hardware auf Throttling

Geforce GTX 1060 im Test: Knapper Konter
Geforce GTX 1060 im Test
Knapper Konter
  1. Quadro P6000/P5000 Nvidia kündigt Profi-Karten mit GP102-Vollausbau an
  2. Grafikkarte Nvidia bringt neue Titan X mit GP102-Chip für 1200 US-Dollar
  3. Notebooks Nvidia bringt Pascal-Grafikchips für Mobile im August

Pokémon Go im Test: Hype in der Großstadt, Flaute auf dem Land
Pokémon Go im Test
Hype in der Großstadt, Flaute auf dem Land
  1. Pokémon Go Pikachu versus Bundeswehr
  2. Nintendo Gewinn steigt durch Pokémon Go kaum an
  3. Pokémon Go Monsterjagd im Heimatland

  1. Re: CAs abschaffen?

    My1 | 17:03

  2. Re: Hm - "Intel und Nvidia machen ja alles...

    cpt.dirk | 17:02

  3. Re: Frage: Upgrade Problem (OT)

    ve2000 | 17:01

  4. Re: Schade Debian...

    cpt.dirk | 16:58

  5. Re: Unfassbar

    MüllerWilly | 16:54


  1. 14:22

  2. 13:36

  3. 13:24

  4. 13:13

  5. 12:38

  6. 09:01

  7. 18:21

  8. 18:05


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel