Vokabular zur Passwortsicherheit: TLS

Was ist TLS?

Einerseits kommen wir uns bei solchen Nachrichten alle ein bisschen dumm vor. Andererseits ist es sehr ermutigend zu wissen, dass wir Cyberkriminellen immer einen Schritt voraus bleiben können – auch wenn unsere einzige Waffe ein gutes Passwort ist.

Wie funktioniert TLS?

TLS stellt eine sichere, private Verbindung zwischen einem Client (z. B. einem Webbrowser) und einem Server (z. B. nordpass.com) bereit. Die Kommunikation zwischen den beiden Parteien wird in Sekundenschnelle verifiziert, authentifiziert, zertifiziert und verschlüsselt. Das Endergebnis von TLS wird als „sichere symmetrische Verschlüsselung“ bezeichnet. Um den Prozess zu verstehen, stellen Sie sich am besten so etwas wie einen geheimen Handschlag vor.

1. Der Client sendet eine „Hello“-Nachricht an den Server: Die „message“ (Meldung) gibt an, welche TLS-Version der Client unterstützt. Sie enthält auch die unterstützten „Cipher Suites“ (Chiffre-Suites) und eine zufällige Zahlenfolge, die als „Client random bytes“ (Client-Zufallsbytes) bezeichnet werden.

   (Die Zufallsbytes garantieren die „Freshness“ (Aktualität) des Handschlags. Die Zufälligkeit trägt dazu bei, Angreifer daran zu hindern, eine Reihe von nummerierten Sitzungen im Voraus zu simulieren und die für dich relevante Sitzung auszuwählen. Beide Seiten erzeugen eine zufällige Sequenz zur Verifizierung – mehr dazu weiter unten).

2. Der Server sendet eine „Hello“-Nachricht zurück: Die Antwortnachricht enthält das TLS-/SSL-Zertifikat des Servers, die gewählte Chiffre-Suite und eine weitere zufällige Zahlenfolge. Das Zertifikat aktiviert das HTTPS-Protokoll und neben der URL erscheint ein Vorhängeschloss als Symbol.

3. Der Client authentifiziert den Server: Der Client überprüft das TLS-/SSL-Zertifikat des Servers bei der ausstellenden Behörde. Dies bestätigt die Identität des Servers und beweist, dass der Client mit dem tatsächlichen Eigentümer der Domäne kommuniziert.

4. Der Client erstellt ein „Premaster secret“: Der Client erhält einen öffentlichen Schlüssel aus dem TLS-/SSL-Zertifikat des Servers. Der Schlüssel wird verwendet, um eine weitere zufällige Zahlenfolge zu verschlüsseln, die als „Premaster secret“ bezeichnet wird. Diese verschlüsselte Zahlenfolge kann nur mit einem privaten Schlüssel entschlüsselt werden, über den der Server verfügt.

5. Der Server verwendet seinen privaten Schlüssel, um das „Premaster secret“ zu entschlüsseln.

6. Ein Sitzungsschlüssel wird erstellt: Mittlerweile sind drei verschiedene zufällige Zahlenfolgen im Spiel (1: Client random, 2: Server random und 3: Premaster secret). Der Client und der Server verwenden alle drei Zahlenfolgen, um einen Sitzungsschlüssel zu generieren. Ein Sitzungsschlüssel ist eine Schutzmaßnahme: Er ist ein einzigartiger Schlüssel, der nur einmal verwendet wird, um ausschließlich diese Sitzung zu schützen. Bei jedem Besuch der Website wird ein neuer Sitzungsschlüssel generiert.

7. Der Client gibt bekannt, dass er bereit ist: Der Client sendet eine „Finished“-Nachricht, die mit dem exklusiven Sitzungsschlüssel verschlüsselt ist.

   Der Server meldet, dass er bereit ist: Der Server macht genau das Gleiche.

8. Der „Handshake“ ist abgeschlossen: Kommunikation zwischen dem Client (z. B. Safari) und dem Server (z. B. nordpass.com) ist mit TLS-Verschlüsselung gesichert und vor Angreifern geschützt.

Kann TLS Hacker abwehren?

TSL ist sicher und zuverlässig: Ein „shared secret“ wird zwischen zwei Parteien ausgehandelt und mittels mehreren Schichten von Einmal-Codes und Schlüsseln geschützt. Auf diese Weise können Lauscher und Angreifer Ihre Daten weder erraten noch sehen.

Die mehrschichtige Verschlüsselung verschlüsselt deine Daten und verwandelt sie in zufälliges Kauderwelsch. Selbst wenn ein passiver Angreifer deine Daten abgreifen würde, könnte er die Kommunikation nicht mitlesen.

Wo wird TLS verwendet?

TLS wird am häufigsten verwendet für:

Internet-Kommunikation. E-Mail-, Instant-Messaging-Apps und Voice-over-IP-Apps wie Skype.

Online-Transaktionen. Finanz-Apps wie PayPal und Western Union sowie Online-Banking-Websites. TLS wird häufig im Online-Shopping verwendet – gekennzeichnet durch das grüne Vorhängeschloss-Symbol in deinem Browser.

Was ist der Unterschied zwischen TLS und SSL?

TLS ist eine verbesserte Version von SSL.

1994 wurde SSL (Secure Sockets Layer) erfunden, um Informationen zu verschlüsseln, eine Client- und Server-Authentifizierung bereitzustellen und Daten zu schützen, die über unsichere Netzwerke übertragen werden. Innerhalb nur eines Jahres entwickelte es sich zur besten Methode, um Daten in E-Mails, Webbrowsern und VoIP-Verbindungen zu sichern. Es wurde jedoch festgestellt, dass SSL eine erhebliche Sicherheitslücke enthält.

Im Jahr 2013 äußerte Google große Besorgnis über die Sicherheit von SSL 3.0. Da SSL eine Mischung aus Klartext und verschlüsseltem Text verwendet, waren Hacker in der Lage, Passwörter zu lesen und die Kontoinformationen von Benutzern auf Websites offenzulegen. Jede Website, die SSL verwendet, ist anfällig für diese Art von Angriff, die unter dem Namen „POODLE“ bekannt ist.

TLS wurde entwickelt, um die Sicherheitslücken von SSL zu beheben, und natürlich wurde TLS von Unternehmen weltweit übernommen. Unternehmen können Sicherheitsprobleme auf Websites vermeiden, indem sie sicherstellen, dass ihre Websites und ihr Hosting-Server ausschließlich die neueste Version von TLS unterstützen.

Warum benötigen wir TLS?

HTTP steht für HyperText Transfer Protocol und ist die Basis für jede Website. Webseiten, die mit HTTPS beginnen, verwenden eine sichere, private Verbindung – das S in HTTPS steht für Sicherheit.

TLS oder SSL ist die zugrundeliegende Sicherheitstechnologie hinter HTTPS.

TLS verschlüsselt Online-Verbindungen, sodass Ihre Daten für Hacker unlesbar werden. Ohne TLS könnte jede Online-Verbindung abgefangen werden. Jeder könnte unsere Nachrichten mitlesen, Online-Anrufe könnten abgefangen werden und unsere Kreditkartendaten wären für Angreifer mühelos sichtbar. Aber weißt du, was das Beste daran ist, durch TLS geschützt zu sein? Sie merken nicht mal, dass TLS im Hintergrund am Werk ist.