Secure Socket Layer (SSL) - Verschlüsselung

Wer im Internet unterwegs ist muss sich um den Schutz von Daten und die sichere Übertragung von Informationen Gedanken machen. Im World-Wide-Web nimmt die SSL-Verschlüsselung beim Übertragen von Daten vom heimischen PC zu einer Webseite eine zentrale Rolle ein.

Die Aufgaben der Verschlüsselung der Übertragung zwischen einer Webseite und einem einzelnen Rechner sind:

• Der Besucher einer Webseite soll sicher sein, dass er sich tatsächlich auf der Webseite des Anbieters befindet, der behauptet, dies sei seine Webseite.
• Die Kommunikation vor allem auf dem Weg vom Besucher zum Anbieter mittels Formularen oder anderer Übertragungstechniken soll verschlüsselt über das Netz erfolgen, so dass niemand etwa die Kreditkartennummer beim Weg vom Browser zum Webserver abfangen kann.

Die dazu verwendete Technologie wurde von Netscape entwickelt und hat sich inzwischen als Standard etabliert. Sie heißt Secure Socket Layer (SSL) und ergänzt die Datenübertragungsprotokolle des Internet. Grundlage ist die Kryptografie genauer, eine Public-Key-Verschlüsselung. Sie besteht aus einem geheimen Schlüssel (secret key) , den nur sein Besitzer kennen darf, und einem öffentlichen Schlüssel (public key). Nachrichten, die mit dem öffentlichen Schlüssel codiert wurden kann nur der Besitzer des geheimen Schlüssels wieder lesbar machen. Umgekehrt gilt, dass eine Nachricht, die mit einem bestimmten Public Key lesbar gemacht werden kann nur vom Besitzer des geheimen Schlüssels codiert werden konnte. Vorteil des Verfahrens: der öffentliche Schlüssel kann beliebig weitergereicht werden und ermöglicht es, dem Besitzer des geheimen Schlüssels Nachrichten zukommen zu lassen, die nur er wieder lesen kann.

Gesicherte Web-Verbindungen sind über das Protokoll "https" für Hypertext Transfer Protocol Secured in der Browser Statusleiste erkennbar, dazu zeigen die Browser ein Symbol (meist ein geschlossenes Vorhängeschloss oder einen Schlüssel) für die gesicherte Verbindung an. Eine solche Webseite identifiziert sich beim Browser zunächst über die Sendung eines so genannten Zertifikates. Es enthält Angaben über diesen Anbieter (Firmenname, Webadresse) und den public key des Anbieters. Dass diese Angaben stimmen, das bestätigt eine dritte Instanz, eine Zertifizierungsstelle. Ihre Aufgabe besteht darin, jedem auf Wunsch mitzuteilen, ob der übermittelte Public Key auch wirklich zu dem gehört, der behauptet die Webseite zu betreiben.

Mit den meisten Browsern werden die public keys der größten Zertifizierungsstellen mitgeliefert, der Browser kontrolliert, ob das Zertifikat gültig ist und zeigt dies dann an. Die weitere Kommunikation mit dem Webserver wird mit dem public key des Anbieters verschlüsselt, so dass die Verbindung nicht abgehört werden kann. Auf Seiten des Webanbieters besorgt der private-key die Entschlüsselung der Daten. Für den Benutzer stellt sich der Prozess beispielsweise (hier der Internet Explorer 5.5) so dar.