Was ist TLS?

Mit Hilfe von TLS kann man beispielsweise die Verbindung zu Webseiten verschlüsseln.

Warum ist das wichtig?

Surft man unverschlüsselt im Internet oder ruft unverschlüsselt seine E-Mails ab, können die Benutzernamen, die Passworte und die gesendeten Daten von Dritten mitgelesen werden. Außerdem kann beobachtet werden, welche Seiten man sich ansieht (wobei das zum Teil mit Verschlüsselung auch weiterhin geht – es sollte dann auf Anonymisierungsdienste wie TOR zurückgegriffen werden).

Ist die Verschlüsselung sicher?

Das Problem bei TLS ist, dass die Schlüssel zur Verschlüsselung sicher ausgetauscht werden müssen. Wenn du beispielsweise mtmedia.org ansurfst bekommst du den öffentlichen Schlüssel von mtmedia.org zugesendet, mit Hilfe dessen dein Browser dann eine verschlüsselte Verbindung zu mtmedia.org aufbaut.
Die Frage ist nun, woher weist du, dass der Schlüssel auch wirklich der von mtmedia.org ist? Es könnte sich ja jemand anders für mtmedia.org ausgeben oder einen Man in the Middle Angriff durchführen. Bei letzterem schält sich der Angreifer zwischen dich und mtmedia.org und gaukelt dir vor er sei mtmedia.org und mtmedia.org er sei du. Er tauscht mit beiden die Schlüssel aus und leitet alle Anfragen über sich. Da er die Schlüssel hat, kann er alles mitlesen…

Was kann man dagegen tun? Helfen diese TLS-Zertifikate?

Genau dafür hat man die TLS-Zertifikate entwickelt. Dafür gibt es Zertifizierungsinstitutionen, bei denen Webseiten ihre Schlüssel zertifizieren lassen können. Beispielsweise haben wir unseren öffentlichen Schlüssel von einem Zertifizierer signieren lassen. Dazu erstellt dieser eine Signatur (mit seinem privaten Schlüssel). Diese wird mit dem mtmedia.org-Verschlüsselungszertifikat ausgeliefert. Dein Browser kann die Signatur anhand der im Browser bereits integrierten öffentlichen Schlüssel der Zertifizierer überprüfen und du weist damit das das Zertifikat von mtmtedia.org stammt.

Woran erkenne ich eine verschlüsselte Verbindung die mit einem Zertifikat geschützt wurde?

Im Firefox erkennt man eine verschlüsselte, mit Zertifikaten abgesicherte Verbindung an einem kleinen Schloss vor der URL/Domain:

Wenn ein Zertifikatsfehler Auftritt erscheint folgende Warnmeldung:

Was ist der Unterschied zwischen TLS und SSL?

TLS ist der Nachfolger von SSL. Die Begriffe werden aber häufig synonym verwendet.

Was ist StartTLS?

StartTLS benutzt eine unverschlüsselte Verbindung und handelt auf ihrer Basis eine verschlüsselte aus. Im Unterschied zu herkömmlichen SSL/TLS-Verbindungen ist die Verschlüsselung dabei nicht von Anfang an zwingend vorgegeben – es sollte also wenn möglich auf die “richtigen“ SSL/TLS-Verbindungen zurückgegriffen werden. StartTLS kommt v.a. im E-Mail-Bereich vor. Schau mal in deinem Mailprogramm nach.

Kann ich Webseiten zwingen TLS standardmäßig einzusetzen?

In den Einstellungen des Browsers Firefox kann der Nur-HTTPS-Modus aktiviert werden. Webseiten werden dann ausschließlich verschlüsselt aufgerufen. Sollte eine Webseite immer noch keine TLS-Verschlüsselung unterstützen, zeigt Firefox eine Warnung an. Ein Button erlaubt die Webseite dennoch aufzurufen – allerdings unverschlüsselt.

Wo finde ich mehr Informationen zu den erwähnten Firefox-Addons??

Wir haben dazu eine Anleitungs- und Info-Seite geschrieben.