Wie ist SSL und TLS entstanden und warum?
Das Secure Sockets Layer (SSL)-Protokoll, die Grundlage der heutigen Zertifikate, wurde von Netscape Communications entwickelt.
- Entwicklung: Die erste Version, SSL 1.0, wurde intern bei Netscape entwickelt, aber nie veröffentlicht. Obwohl sie Mitte 1994 fertiggestellt wurde hatte man zu viele gravierende Fehler und Sicherheitslücken festgestellt, die einer Veröffentlichung entgegen standen.
- Erste Veröffentlichung: SSL 2.0 war die erste öffentlich zugängliche Version und wurde vor nunmehr über 30 Jahren im Jahre 1995 von Netscape veröffentlicht. Es enthielt jedoch abermals einige Sicherheitslücken.
- Standardisierung: Mit SSL 3.0 (1996) und dem Nachfolger TLS (Transport Layer Security), dessen erste Version (TLS 1.0) 1999 veröffentlicht wurde, wurde die Technologie weiter verbessert und standardisiert.
Obwohl wir heute meist von "SSL-Zertifikaten" sprechen, verwenden moderne Browser und Server eigentlich das sicherere und standardisierte TLS-Protokoll. Die Bezeichnung "SSL" ist jedoch im allgemeinen Sprachgebrauch geblieben.
SSL als Teil eines kryptografischen Protokolls
SSL ist nicht nur ein geläufiger Begriff, sondern beschreibt ein komplexes kryptografisches Protokoll. Darin ist ein Regelwerk technisch festgelegt, wie der Datenaustausch sicher ablaufen muss. Es arbeitet auf der Transportschicht des Internets, also genau dort, wo die Datenpakete zwischen Server und Browser übertragen werden.
Funktionsweise in Phasen
Das SSL-Protokoll läuft in mehreren Phasen ab, die als SSL-Handshake bekannt sind:
- Begrüßung (ClientHello): Der Browser (Client) kontaktiert den Server und teilt ihm mit, welche SSL- und Kryptografie-Versionen er unterstützt.
- Server-Antwort (ServerHello): Der Server wählt die besten unterstützten Optionen aus und sendet dem Browser sein SSL-Zertifikat sowie seinen öffentlichen Schlüssel.
- Verifizierung: Der Browser überprüft das Zertifikat. Ist es gültig und vertrauenswürdig, generiert der Browser einen geheimen Sitzungsschlüssel, verschlüsselt ihn mit dem öffentlichen Schlüssel des Servers und schickt ihn an den Server zurück.
- Verschlüsselung: Beide Seiten verwenden nun den geheimen Sitzungsschlüssel, um alle weiteren Daten der aktuellen Kommunikation zu verschlüsseln und zu entschlüsseln.
Dieser Prozess stellt sicher, dass die Verbindung authentifiziert und verschlüsselt wird, bevor die eigentlichen Daten übertragen werden.
Abgelegt in: