Abo
  • IT-Karriere:

HSTS: Google führt Liste von reinen HTTPS-Seiten

Für seinen Chrome-Browser führt Google eine Liste von Webseiten, die ausschließlich über HTTPS erreichbar sein sollen. Dort kann sich jeder Webseitenbetreiber eintragen, der die HSTS-Erweiterung nutzt.

Artikel veröffentlicht am , Hanno Böck
Google-Entwickler werben für HTTPS überall.
Google-Entwickler werben für HTTPS überall. (Bild: Ilya Grigorik)

Google will offenbar die Verbreitung von Webseiten, die nur noch HTTPS-verschlüsselt abrufbar sind, massiv vorantreiben. Vor kurzem hatte der Konzern bereits angekündigt, HTTPS-Seiten künftig beim Suchmaschinen-Ranking zu bevorzugen. Ab sofort können sich Webseitenbetreiber, deren Webseite die HSTS-Erweiterung nutzt, in eine Liste des Chrome-Browsers eintragen. Diese Seiten können dann nicht mehr über HTTP abgerufen werden.

Stellenmarkt
  1. H&D - An HCL Technologies Company, Gifhorn
  2. Landratsamt Lindau, Lindau am Bodensee

Webseiten, die ausschließlich verschlüsselt abrufbar sind, leiten üblicherweise Nutzer sofort auf die HTTPS-Version weiter, wenn diese versuchen, die Seite unverschlüsselt über HTTP abzurufen. Doch diese Methode hat einen Nachteil: Das sogenannte SSL-Stripping. Ein Angreifer kann mittels einer Man-in-the-Middle-Attacke verhindern, dass der Nutzer auf die HTTPS-Version weitergeleitet wird und dem Nutzer eine gefälschte Version der Seite via HTTP präsentieren.

Strict Transport Security-Header signalisiert Verschlüsselung

Um das zu verhindern, wurde die Erweiterung HTTP Strict Transport Security (HSTS) eingeführt, ein Header, der dem Browser signalisiert, dass eine Seite in Zukunft nur noch über HTTPS abrufbar sein soll. Der Browser speichert diese Information für einen im Header festgelegten Zeitraum. HSTS ist im RFC 6797 standardisiert.

HSTS funktioniert allerdings nur, wenn der Nutzer eine Seite bereits einmal über eine nicht manipulierte Verbindung abgerufen hat. Ein Angreifer kann weiterhin den allerersten Aufruf einer Seite mittels einer SSL-Stripping-Attacke manipulieren.

Um das zu verhindern, hat Google in den Chrome-Browser bestimmte Seiten voreingestellt, die nur noch über HTTPS abrufbar sind. Der Browser baut dann in keinem Fall eine HTTP-Verbindung auf. Die Liste wird inzwischen auch von Firefox und Safari verwendet. Die Möglichkeit, sich in die entsprechende Liste eintragen zu lassen, will der Konzern auch anderen Anbietern von Webservices ermöglichen.

Liste für reine HTTPS-Seiten

Um sich in diese Liste eintragen zu lassen, mussten Webseitenbetreiber bisher eine E-Mail an Google-Entwickler Adam Langley schreiben. Offenbar wurde zuletzt das Interesse immer größer und dieses Verfahren nicht mehr praktikabel. Google hat jetzt eine Webseite eingerichtet, auf der sich Webseitenbetreiber in die Liste eintragen lassen können. Geprüft werden die Anträge weiterhin manuell.

Um die eigene Webseite in die HSTS-Liste einzutragen, muss sie so konfiguriert sein, dass ein HSTS-Header mit einer Laufzeit von mindestens 18 Wochen gesendet wird. Außerdem müssen auch alle Subdomains über HTTPS erreichbar sein.

Keine Performanceprobleme mit HTTPS

Google verfolgt offenbar das Ziel, dass künftig ein Großteil des Internettraffics nur noch über HTTPS abgewickelt werden soll. Google-Entwickler Ilya Grigorik wirbt auf der Webseite istlsfastyet.com dafür, dass alle Webseiten über HTTPS ausgeliefert werden sollen. Performanceprobleme gebe es kaum noch, wenn die Einstellungen des Servers entsprechend optimiert sind. Grigorik hat kürzlich auf der Velocity-Konferenz einen Vortrag dazu gehalten, in dem auch einige Tipps für Serverbetreiber vorgestellt werden, die ihre TLS-Performance verbessern wollen. Bereits normale HTTPS-Verbindungen lassen sich laut Grigorik ohne große Leistungsverluste abwickeln. Wenn Serverbetreiber auf das von Google entwickelte SPDY-Protokoll wechseln, könnten sie sogar Leistungsgewinne durch den Einsatz von verschlüsselten Verbindungen erzielen.

Google hat bereits vor einigen Jahren angefangen, seine eigenen Webservices nur noch über HTTPS anzubieten. Zunächst galt das für Google Mail, später auch für die Google-Suche und zahlreiche andere Google-Services. Laut Adam Langley hat die Umstellung von Google Mail fast keine Performanceprobleme verursacht und keinerlei zusätzliche Hardware benötigt.



Anzeige
Hardware-Angebote
  1. 58,99€
  2. 199€ + Versand
  3. ab 234,90€

FibreFoX 06. Okt 2014

Sry, aber startssl ist IMHO nicht wirklich vertrauenswürdig, zumal diverse Probleme bei...

__destruct() 18. Aug 2014

Https ist schon ein eigenes Protokoll. Es ist nur vom Aufbau genauso wie wie http und mit...


Folgen Sie uns
       


Tiemo Wölken (SPD) zu Artikel 13

Der SPD-Europaabgeordnete Tiemo Wölken hofft darauf, dass das Europaparlament am 26. März 2019 den umstrittenen Artikel 13 noch ablehnt.

Tiemo Wölken (SPD) zu Artikel 13 Video aufrufen
Technologie: Warum Roboter in Japan so beliebt sind
Technologie
Warum Roboter in Japan so beliebt sind

Japaner produzieren nicht nur mehr Roboter als jede andere Nation, sie gehen auch selbstverständlicher mit ihnen um. Das liegt an der besonderen Geschichte und Religion des Inselstaats - und an Astro Boy.
Von Miroslav Stimac

  1. Heimautomatisierung Wäschefaltroboter-Hersteller Seven Dreamers ist insolvent
  2. Kreativität Roboterdame Ai-Da soll zeichnen und malen
  3. Automatisierung Roboterhotel entlässt Roboter

Raspi-Tastatur und -Maus im Test: Die Basteltastatur für Bastelrechner
Raspi-Tastatur und -Maus im Test
Die Basteltastatur für Bastelrechner

Für die Raspberry-Pi-Platinen gibt es eine offizielle Tastatur und Maus, passenderweise in Weiß und Rot. Im Test macht die Tastatur einen anständigen Eindruck, die Maus hingegen hat uns eher kaltgelassen. Das Keyboard ist zudem ein guter Ausgangspunkt für Bastelprojekte.
Ein Test von Tobias Költzsch

  1. Bastelcomputer Offizielle Maus und Tastatur für den Raspberry Pi
  2. Kodi mit Raspberry Pi Pimp your Stereoanlage
  3. Betriebssystem Windows 10 on ARM kann auf Raspberry Pi 3 installiert werden

Fitbit Versa Lite im Test: Eher smartes als sportliches Wearable
Fitbit Versa Lite im Test
Eher smartes als sportliches Wearable

Sieht fast aus wie eine Apple Watch, ist aber viel günstiger: Golem.de hat die Versa Lite von Fitbit ausprobiert. Neben den Sport- und Fitnessfunktionen haben uns besonders der Appstore und das Angebot an spaßigen und ernsthaften Anwendungen interessiert.
Von Peter Steinlechner

  1. Smartwatch Fitbit stellt Versa Lite für Einsteiger vor
  2. Inspire Fitbits neues Wearable gibt es nicht im Handel
  3. Charge 3 Fitbit stellt neuen Fitness-Tracker für 150 Euro vor

    •  /