SSL

Als SSL oder Secure Socket Layer (engl. für "sichere Verbindungsschicht") wird ein Protokoll zur Verschlüsselung und Authentifizierung von Internet-Verbindungen bezeichnet. In der Regel wird das Protokoll heute jedoch Transport Layer Security (TLS) genannt. SSL basiert auf dem TCP/IP-Protokoll, das bereits seit den späten 70er Jahren verwendet wird – das SSL-Protokoll selbst wurde jedoch vom US-amerikanischen Software-Unternehmen Netscape entwickelt. Das SSL-Protokoll wird bei zahlreichen sicherheitskritischen Web-Übertragungen eingesetzt und auch in Verbindung mit anderen Protokollen wie FTP, HTTP oder SMTP verwendet.

Bei SSL werden Daten mit einer 128-Bit-Verschlüsselung übertragen und Informationen mit sogenannten Public Keys codiert. Die Sicherheit von SSL besteht darin, dass der Schlüssel zur Decodierung der Daten stets individuell festgelegt wird und beim User verbleibt. Der Dechiffrier-Schlüssel wird somit nicht ins Internet übertragen. Zudem besteht das SSL-Protokoll aus zwei Ebenen: Auf der ersten Ebene findet die Verschlüsselung der Informationen statt. Der verwendete Chiffrierschlüssel ist hierbei nur für die aktuelle Verbindung gültig. Des Weiteren verifiziert ein Prüfsummen-Check die Echtheit der übertragenen Daten. Auf der zweiten Ebene findet der eigentliche Austausch der privaten Schlüssel statt und alle Teilnehmer (Clients und Server) werden authentifiziert. Nach der Einigung auf einen Algorithmus zur Verschlüsselung senden sie sich die codierten Schlüssel zu und der Datenaustausch beginnt.

OpenSSL ist eine Open-Source-Implementierung des SSL-Protokolls und bietet umfangreiche Möglichkeiten der Zertifikat-Verwaltung sowie kryptografische Funktionen. Dabei besteht OpenSSL aus insgesamt drei Programmteilen: dem Befehlszeilen-Tool openssl, der Kryptologiebibliothek crypto und der Bibliothek SSL. Zu den wichtigsten Funktionen von OpenSSL gehören das Erstellen und Verwalten von öffentlichen und privaten Schlüsseln und den dazugehörigen Parametern, das Kreieren von X509-Zertifikaten und das Generieren und Kontrollieren von Zeitstempeln. Im April 2014 wurde bekannt, dass die OpenSSL-Versionen 1.0.1 bis 1.0.1f sowie diverse Beta-Versionen von 1.0.2 von einer kritischen Sicherheitslücke namens Heartbleed betroffen sind, wodurch das Auslesen von Passwörtern und Nutzernamen möglich ist.

Das SSL-Protokoll wird von der Mehrzahl von Webseiten, Chat-Applikationen und E-Mail-Services verwendet, aus diesem Grund ist auch die kostenlose OpenSSL-Variante weit verbreitet. Die Tatsache, dass eine Vielzahl prominenter Service-Anbieter wie Yahoo und flickr auf OpenSSL setzen, macht die Sicherheitslücke Heartbleed so kritisch. Bei dem Heartbleed-Bug ist es Angreifern möglich, auf uninitialisierten Speicher zuzugreifen und Teile des Hauptspeichers auszulesen. So können beispielsweise Passwörter, Schlüssel zu Zertifikaten und Usernamen abgegriffen und missbräuchlich verwendet werden. Da durch Heartbleed damit zu rechnen ist, dass private Schlüssel für Serverzertifikate und sicherheitsrelevante Zugangsdaten ausgelesen wurden, ist zu empfehlen, bei betroffenen Diensten die jeweiligen Passwörter zu ändern. Die Dienstanbieter reagierten zudem auf den Bug, indem sie Zertifikate ausgetauscht und somit die Sicherheitslücke geschlossen haben. Mehr zum Thema Heartbleed erfahren Sie im Cyberbloc, dem Corporate Blog von Cyberport.