Abo
  • Services:
Anzeige
Google-Entwickler werben für HTTPS überall.
Google-Entwickler werben für HTTPS überall. (Bild: Ilya Grigorik)

HSTS: Google führt Liste von reinen HTTPS-Seiten

Für seinen Chrome-Browser führt Google eine Liste von Webseiten, die ausschließlich über HTTPS erreichbar sein sollen. Dort kann sich jeder Webseitenbetreiber eintragen, der die HSTS-Erweiterung nutzt.

Anzeige

Google will offenbar die Verbreitung von Webseiten, die nur noch HTTPS-verschlüsselt abrufbar sind, massiv vorantreiben. Vor kurzem hatte der Konzern bereits angekündigt, HTTPS-Seiten künftig beim Suchmaschinen-Ranking zu bevorzugen. Ab sofort können sich Webseitenbetreiber, deren Webseite die HSTS-Erweiterung nutzt, in eine Liste des Chrome-Browsers eintragen. Diese Seiten können dann nicht mehr über HTTP abgerufen werden.

Webseiten, die ausschließlich verschlüsselt abrufbar sind, leiten üblicherweise Nutzer sofort auf die HTTPS-Version weiter, wenn diese versuchen, die Seite unverschlüsselt über HTTP abzurufen. Doch diese Methode hat einen Nachteil: Das sogenannte SSL-Stripping. Ein Angreifer kann mittels einer Man-in-the-Middle-Attacke verhindern, dass der Nutzer auf die HTTPS-Version weitergeleitet wird und dem Nutzer eine gefälschte Version der Seite via HTTP präsentieren.

Strict Transport Security-Header signalisiert Verschlüsselung

Um das zu verhindern, wurde die Erweiterung HTTP Strict Transport Security (HSTS) eingeführt, ein Header, der dem Browser signalisiert, dass eine Seite in Zukunft nur noch über HTTPS abrufbar sein soll. Der Browser speichert diese Information für einen im Header festgelegten Zeitraum. HSTS ist im RFC 6797 standardisiert.

HSTS funktioniert allerdings nur, wenn der Nutzer eine Seite bereits einmal über eine nicht manipulierte Verbindung abgerufen hat. Ein Angreifer kann weiterhin den allerersten Aufruf einer Seite mittels einer SSL-Stripping-Attacke manipulieren.

Um das zu verhindern, hat Google in den Chrome-Browser bestimmte Seiten voreingestellt, die nur noch über HTTPS abrufbar sind. Der Browser baut dann in keinem Fall eine HTTP-Verbindung auf. Die Liste wird inzwischen auch von Firefox und Safari verwendet. Die Möglichkeit, sich in die entsprechende Liste eintragen zu lassen, will der Konzern auch anderen Anbietern von Webservices ermöglichen.

Liste für reine HTTPS-Seiten

Um sich in diese Liste eintragen zu lassen, mussten Webseitenbetreiber bisher eine E-Mail an Google-Entwickler Adam Langley schreiben. Offenbar wurde zuletzt das Interesse immer größer und dieses Verfahren nicht mehr praktikabel. Google hat jetzt eine Webseite eingerichtet, auf der sich Webseitenbetreiber in die Liste eintragen lassen können. Geprüft werden die Anträge weiterhin manuell.

Um die eigene Webseite in die HSTS-Liste einzutragen, muss sie so konfiguriert sein, dass ein HSTS-Header mit einer Laufzeit von mindestens 18 Wochen gesendet wird. Außerdem müssen auch alle Subdomains über HTTPS erreichbar sein.

Keine Performanceprobleme mit HTTPS

Google verfolgt offenbar das Ziel, dass künftig ein Großteil des Internettraffics nur noch über HTTPS abgewickelt werden soll. Google-Entwickler Ilya Grigorik wirbt auf der Webseite istlsfastyet.com dafür, dass alle Webseiten über HTTPS ausgeliefert werden sollen. Performanceprobleme gebe es kaum noch, wenn die Einstellungen des Servers entsprechend optimiert sind. Grigorik hat kürzlich auf der Velocity-Konferenz einen Vortrag dazu gehalten, in dem auch einige Tipps für Serverbetreiber vorgestellt werden, die ihre TLS-Performance verbessern wollen. Bereits normale HTTPS-Verbindungen lassen sich laut Grigorik ohne große Leistungsverluste abwickeln. Wenn Serverbetreiber auf das von Google entwickelte SPDY-Protokoll wechseln, könnten sie sogar Leistungsgewinne durch den Einsatz von verschlüsselten Verbindungen erzielen.

Google hat bereits vor einigen Jahren angefangen, seine eigenen Webservices nur noch über HTTPS anzubieten. Zunächst galt das für Google Mail, später auch für die Google-Suche und zahlreiche andere Google-Services. Laut Adam Langley hat die Umstellung von Google Mail fast keine Performanceprobleme verursacht und keinerlei zusätzliche Hardware benötigt.


eye home zur Startseite
FibreFoX 06. Okt 2014

Sry, aber startssl ist IMHO nicht wirklich vertrauenswürdig, zumal diverse Probleme bei...

__destruct() 18. Aug 2014

Https ist schon ein eigenes Protokoll. Es ist nur vom Aufbau genauso wie wie http und mit...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart-Feuerbach
  2. über Hanseatisches Personalkontor Bremen, Bremen
  3. STAHLGRUBER GmbH, Poing bei München
  4. Comline AG, Dortmund


Anzeige
Spiele-Angebote
  1. 8,49€
  2. 9,99€
  3. 22,99€

Folgen Sie uns
       


  1. UAV

    Matternet startet Drohnenlieferdienst in der Schweiz

  2. Joint Venture

    Microsoft und Facebook verlegen Seekabel mit 160 Terabit/s

  3. Remote Forensics

    BKA kann eigenen Staatstrojaner nicht einsetzen

  4. Datenbank

    Börsengang von MongoDB soll 100 Millionen US-Dollar bringen

  5. NH-L9a-AM4 und NH-L12S

    Noctua bringt Mini-ITX-Kühler für Ryzen

  6. Wegen Lieferproblemen

    Spekulationen über Aus für Opels Elektroauto Ampera-E

  7. Minix

    Fehler in Intel ME ermöglicht Codeausführung

  8. Oracle

    Java SE 9 und Java EE 8 gehen live

  9. Störerhaftung abgeschafft

    Bundesrat stimmt für WLAN-Gesetz mit Netzsperrenanspruch

  10. Streaming

    Update für Fire TV bringt Lupenfunktion



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Olympus Tough TG5 vs. Nikon Coolpix W300: Die Schlechtwetter-Kameras
Olympus Tough TG5 vs. Nikon Coolpix W300
Die Schlechtwetter-Kameras
  1. Mobilestudio Pro 16 im Test Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
  2. HP Z8 Workstation Mit 3 TByte RAM und 56 CPU-Kernen komplexe Bilder rendern
  3. Meeting Owl KI-Eule erkennt Teilnehmer in Meetings

E-Paper-Tablet im Test: Mit Remarkable machen digitale Notizen Spaß
E-Paper-Tablet im Test
Mit Remarkable machen digitale Notizen Spaß
  1. Smartphone Yotaphone 3 kommt mit großem E-Paper-Display
  2. Display E-Ink-Hülle für das iPhone 7

Parkplatz-Erkennung: Bosch und Siemens scheitern mit Pilotprojekten
Parkplatz-Erkennung
Bosch und Siemens scheitern mit Pilotprojekten
  1. Community based Parking Mercedes S-Klasse liefert Daten für Boschs Parkplatzsuche

  1. Re: Wieder mal Schwachsinn

    Gromran | 22:45

  2. Re: K(n)ackpunkt Tastaturlayout

    widdermann | 22:44

  3. Re: Bits und Byte

    Sammie | 22:43

  4. Re: Wozu?

    scroogie | 22:37

  5. Re: Bedenkliche Entwicklung

    violator | 22:33


  1. 17:43

  2. 17:25

  3. 16:55

  4. 16:39

  5. 16:12

  6. 15:30

  7. 15:06

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel