Seeming Secure Layer – Erschreckende Sicherheitsdefizite bei Internet-Anwendungen - Prof. Dr. Norbert Pohlmann

D. Petersen, N. Pohlmann:,
“Seeming Secure Layer – Erschreckende Sicherheitsdefizite bei Internet-Anwendungen”,
iX – Magazin für professionelle Informationstechnik,
Heise-Verlag,
01/2009

Etliche Internet-Anwender legen mittlerweile Wert darauf, verschlüsselt zu kommunizieren – zumindest mit der Banking Website, schon seltener mit ihrem Mailserver. Die für die IT-Sicherheit wesentliche Art und Weise der Verschlüsselung ist jedoch den meisten egal – mit möglicherweise fatalen Folgen.

Das Internet ist selbstverständlicher Teil des privaten und beruflichen Lebens, und wir füttern es bereitwillig mit persönlichen Daten wie Adressen, Passwörtern, Kontonummern und PINs. Längst interessieren sich kriminelle Vereinigungen, die hier das große Geld wittern, für derlei Informationen. Diverse Fälle illegalen Datenhandels mit Millionen Kunden- und Kontodaten zeigen, welch blühender und lukrativer Geschäftszweig hier entstanden ist. Firewall-Programme und Malware-Scanner auf PCs bieten nicht den geringsten Schutz dagegen. Eine verschlüsselte Kommunikation bei der Übertragung sensibler Daten gilt als obligatorisch. Doch verschlüsselte Verbindungen sind keineswegs immer sicher.
Den Transport von Webseiten und E-Mails verschlüsselt meist das Protokoll Transport Layer Security (TLS), eine standardisierte Weiterentwicklung des Secure Sockets Layer (SSL) 3.0 von Netscape. Aus diesem Grund sind die Begriffe TLS und SSL praktisch synonym in Gebrauch. Beide Protokolle gehören zu den hybriden Verschlüsselungsverfahren: Sie bestehen aus einer Kombination von symmetrischen Algorithmen wie AES, (Triple-)DES oder IDEA und asymmetrischen Verfahren (Public Key) wie RSA oder Elgamal, um deren jeweilige Vorteile zu vereinen. Den Verbindungsaufbau schützt das Public-Key-Verfahren, die eigentliche Datenübermittlung erfolgt symmetrisch verschlüsselt.

Verschlüsselung mit TLS/SSL
Den Aufbau einer gesicherten Verbindung verdeutlicht das Beispiel, dass ein Benutzer mit seinem Browser (Client) auf eine verschlüsselte Webseite (Server) zugreift (siehe Abb. 1). Der Client besorgt sich vom Server das öffentliche Zertifikat der Webseite. Es enthält Informationen über den Namen des Servers und des Zertifikatausstellers, eine Gültigkeitsdauer und den öffentlichen Schlüssel.

…