Google will unverschlüsselte Websites markieren
Auch der Suchmaschinenriese Google will bald alle Webseiten ohne SSL-Verschlüsselung mit einem roten X markieren. Darauf weisen die IT-Sicherheitsexperten der PSW Group hin.
Offenbar ist das nun Googles nächster Schritt, um das Internet sicherer zu machen, nachdem schon seit 2014 “Https” ein Ranking-Signal ist. Bereits seit Sommer jenen Jahres listet Google mit “Https” verschlüsselte Webseiten in den Suchergebnissen besser. „Nahezu jede Website enthält heutzutage die Möglichkeit, sensible Daten einzugeben: Kontaktformulare, Bestellformulare für Online-Shops oder Kommentarfunktionen, zu deren Nutzung Kunden mindestens ihren Namen und ihre E-Mail-Adresse angeben müssen. Um den Austausch sensibler Daten abzusichern, gibt es SSL/TLS-Zertifikate; deren Aufgabe es ist, die Kommunikation zwischen Server und Client zu verschlüsseln. Somit ist es unbefugten Dritten nicht mehr möglich, die Daten mitzulesen“, erklärte dazu Christian Heutger, Geschäftsführer der PSW Group.
OpenSSL: kostenloses Toolkit für die einfache Zertifikatserstellung
Um ein SSL/TLS-Zertifikat zu erstellen, rät der IT-Sicherheitsexperte zur Installation eines Toolkits, mit dem sich die SSL/TLS-Zertifikate auch verwalten lassen. „OpenSSL gehört hier zu den am meisten verbreiteten Lösungen. Bevor das eigentliche SSL-Zertifikat erstellt werden kann, muss jedoch zunächst ein Certificate Signing Request, kurz CSR, angelegt werden. Die CSR wird für die Bestellung des eigentlichen SSL/TLS-Zertifikats bei einer Zertifizierungsstelle benötigt. Im CSR sind Informationen über den Antragsteller und der zu verschlüsselnden Domain gespeichert, außerdem findet sich hier der öffentliche Schlüssel für die Verschlüsselung von Daten“, informiert Heutger.
Auf dem Server erzeugt der Anwender nun ein Schlüsselpaar, das aus dem privaten Schlüssel und der CSR selbst besteht. Da das SSL/TLS-Zertifikat ausschließlich mit der angegebenen Domain genutzt werden kann, empfiehlt Heutger diese so exakt wie möglich, beispielsweise als „www.example.com“ und nicht verkürzt als example.com, im CSR anzugeben. „Der private Schlüssel darf unter keinen Umständen veröffentlicht oder Dritten anvertraut werden! Er ist untrennbar mit dem SSL/TLS-Zertifikat verbunden und dient der Entschlüsselung der Daten. Auf dem Server wird der Zugriff auf den Private Key übrigens über Dateizugriffsrechte geschützt. Wir raten jedoch zusätzlich zu einer Sicherheitskopie der .key-Datei, die ebenfalls vor unbefugtem Zugriff geschützt werden sollte“, mahnt Heutger.
Aufgrund von Schwierigkeiten mit Browser-Kompatibilitäten betrachtet der Experte die Möglichkeit, ein eigenes SSL-Zertifikat zu erstellen, als kritisch: „SSL/TLS-Zertifikate sollten so ausgestellt werden, dass auch ältere Internet Explorer-Versionen sowie sämtliche mobilen Browser und selbst Exoten wie Opera Mobile einbezogen werden. Hinzu kommt, dass mit selbst erstellten Zertifikaten die Identitätsprüfung der Zertifizierungsstellen wegfällt, sodass ein wertvoller Zweck des Zertifikats, nämlich die Authentifizierung, verlorengeht“, so Heutger.
Offenbar ist das nun Googles nächster Schritt, um das Internet sicherer zu machen, nachdem schon seit 2014 “Https” ein Ranking-Signal ist. Bereits seit Sommer jenen Jahres listet Google mit “Https” verschlüsselte Webseiten in den Suchergebnissen besser. „Nahezu jede Website enthält heutzutage die Möglichkeit, sensible Daten einzugeben: Kontaktformulare, Bestellformulare für Online-Shops oder Kommentarfunktionen, zu deren Nutzung Kunden mindestens ihren Namen und ihre E-Mail-Adresse angeben müssen. Um den Austausch sensibler Daten abzusichern, gibt es SSL/TLS-Zertifikate; deren Aufgabe es ist, die Kommunikation zwischen Server und Client zu verschlüsseln. Somit ist es unbefugten Dritten nicht mehr möglich, die Daten mitzulesen“, erklärte dazu Christian Heutger, Geschäftsführer der PSW Group.
OpenSSL: kostenloses Toolkit für die einfache Zertifikatserstellung
Um ein SSL/TLS-Zertifikat zu erstellen, rät der IT-Sicherheitsexperte zur Installation eines Toolkits, mit dem sich die SSL/TLS-Zertifikate auch verwalten lassen. „OpenSSL gehört hier zu den am meisten verbreiteten Lösungen. Bevor das eigentliche SSL-Zertifikat erstellt werden kann, muss jedoch zunächst ein Certificate Signing Request, kurz CSR, angelegt werden. Die CSR wird für die Bestellung des eigentlichen SSL/TLS-Zertifikats bei einer Zertifizierungsstelle benötigt. Im CSR sind Informationen über den Antragsteller und der zu verschlüsselnden Domain gespeichert, außerdem findet sich hier der öffentliche Schlüssel für die Verschlüsselung von Daten“, informiert Heutger.
Auf dem Server erzeugt der Anwender nun ein Schlüsselpaar, das aus dem privaten Schlüssel und der CSR selbst besteht. Da das SSL/TLS-Zertifikat ausschließlich mit der angegebenen Domain genutzt werden kann, empfiehlt Heutger diese so exakt wie möglich, beispielsweise als „www.example.com“ und nicht verkürzt als example.com, im CSR anzugeben. „Der private Schlüssel darf unter keinen Umständen veröffentlicht oder Dritten anvertraut werden! Er ist untrennbar mit dem SSL/TLS-Zertifikat verbunden und dient der Entschlüsselung der Daten. Auf dem Server wird der Zugriff auf den Private Key übrigens über Dateizugriffsrechte geschützt. Wir raten jedoch zusätzlich zu einer Sicherheitskopie der .key-Datei, die ebenfalls vor unbefugtem Zugriff geschützt werden sollte“, mahnt Heutger.
Aufgrund von Schwierigkeiten mit Browser-Kompatibilitäten betrachtet der Experte die Möglichkeit, ein eigenes SSL-Zertifikat zu erstellen, als kritisch: „SSL/TLS-Zertifikate sollten so ausgestellt werden, dass auch ältere Internet Explorer-Versionen sowie sämtliche mobilen Browser und selbst Exoten wie Opera Mobile einbezogen werden. Hinzu kommt, dass mit selbst erstellten Zertifikaten die Identitätsprüfung der Zertifizierungsstellen wegfällt, sodass ein wertvoller Zweck des Zertifikats, nämlich die Authentifizierung, verlorengeht“, so Heutger.