Nach der Einführung in die Grundlagen von SSL und TLS widmen wir uns nun der Funktionsweise von TLS. Im Zentrum steht der sogenannte TLS-Handshake, über den sich Client und Server auf eine sichere Verbindung einigen. Erst nach diesem Handshake können Daten verschlüsselt und manipulationssicher übertragen werden.
Ablauf des TLS-Handshakes
Ein typischer TLS-Handshake durchläuft mehrere Phasen:
- Client Hello
- Der Client meldet sich beim Server.
- Er überträgt die unterstützten TLS-Versionen, Verschlüsselungsalgorithmen (Cipher Suites) und Zufallswerte für die Schlüsselerzeugung.
- Server Hello
- Der Server wählt aus den vorgeschlagenen Optionen passende Algorithmen aus.
- Er sendet außerdem sein digitales Zertifikat, um seine Identität zu bestätigen.
- Schlüsselaustausch
- Abhängig vom gewählten Algorithmus werden asymmetrische Verfahren (z. B. RSA, Diffie-Hellman) genutzt, um einen Sitzungsschlüssel sicher auszutauschen.
- Abschluss des Handshakes
- Client und Server bestätigen, dass die Verschlüsselung aktiviert ist.
- Ab diesem Zeitpunkt werden alle Daten mit dem vereinbarten Sitzungsschlüssel symmetrisch verschlüsselt übertragen.
Rolle digitaler Zertifikate
- Zertifikate basieren auf Public-Key-Infrastrukturen (PKI).
- Sie werden von Zertifizierungsstellen (CAs) ausgestellt, um die Echtheit des Servers (und optional des Clients) zu garantieren.
- Bekannte CAs: DigiCert, GlobalSign, Let’s Encrypt.
TLS 1.2 vs. TLS 1.3
- TLS 1.2: Unterstützt viele ältere Algorithmen, längere Handshake-Dauer.
- TLS 1.3: Weniger Round-Trips, nur noch sichere Cipher Suites, schnellere Verbindungsaufbauten, Forward Secrecy standardmäßig.
Verschlüsselungsverfahren
- Asymmetrisch: RSA, Elliptic Curve Diffie-Hellman (ECDHE) für den Schlüsselaustausch.
- Symmetrisch: AES, ChaCha20 für die eigentliche Datenübertragung.
- Integrität: HMAC (Hash-based Message Authentication Code) verhindert Manipulation.
Praxisbeispiel: HTTPS
Bei HTTPS läuft der TLS-Handshake, bevor HTTP-Daten übertragen werden.
- Erst wenn TLS die Verbindung abgesichert hat, beginnt die eigentliche Webkommunikation.
- Damit sind Login-Daten, Cookies und Inhalte vor Abhören und Manipulation geschützt.
Schreibe einen Kommentar