19. Dezember 2008 - SSL-Risiken

SSL: Wenn Verschlüsselung für Unsicherheit sorgt

Die Verschlüsselung des Internetverkehrs mit SSL (Secure Socket Layer) hat sich als Standard etabliert. Doch mit SSL werden nicht nur vertrauliche Daten, sondern unter Umständen auch Schadprogramme verschlüsselt, die dadurch für herkömmliche Sicherheitslösungen unsichtbar werden. Gleichzeitig umgeht die SSL-Kommunikation die Kontrolle für den ausgehenden Datenverkehr und hilft so internen Datendieben. Sorgen Sie deshalb dafür, dass die Sicherheitsmaßnahmen nicht nur für http-, sondern auch für den https-Verkehr greifen.

wenn-verschlusselung-fur-unsicherheit-sorgt.jpeg
Auch SSL kann Lücken aufweisen (Bild: Thinkstock)

Anmeldungen beim Online-Banking, Dateneingaben in Webformularen oder Bezahlvorgänge in Online-Shops ohne https-Verbindung machen aufgeklärte Internetnutzer zu Recht misstrauisch. Ohne Einsatz von SSL (Secure Socket Layer) droht schließlich ein Lauschangriff auf die übermittelten Daten.

Unerwünschte Nebeneffekte

Viele Internetanwender haben sich deshalb angewöhnt, auf die Nennung von https anstelle von http (Hypertext Transfer Protocol) in der Adresszeile ihres Webbrowsers zu achten, wenn sie einen sicheren Datenaustausch über das Internet benötigen. Doch die Verschlüsselung der Daten mit SSL hat unerwünschte Nebeneffekte, die die Datensicherheit bedrohen könnten.

SSL kann auch Malware tarnen!

Herkömmliche Sicherheitslösungen zur Abwehr von Malware können die Dateien, die über eine SSL-Verbindung auf den Rechner gelangen, nicht bereits während des Herunterladens überprüfen. Die Verschlüsselung der Datenströme führt zu einer möglichen Tarnung für Schadsoftware.

Diese Sicherheitslücke ist natürlich geradezu eine Einladung für Internetkriminelle, um zum Beispiel Spionageprogramme auf diesem Weg auf den Computer zu schleusen.

Letztlich könnte also der Wunsch nach einer höheren Datensicherheit mit SSL zu einer echten Internetbedrohung werden, wie entsprechende Attacken aus dem Web zeigen.

SSL kann die Sicherheit einer Website nicht garantieren

Das Sicherheitszertifikat des Websitebetreibers könnte gefälscht, gestohlen, missbraucht und bereits widerrufen sein, wenn keine automatische Zertifikatsprüfung stattfindet. Oder die Webseiten eines an sich vertrauenswürdigen Anbieters wurden verseucht.

Auch ausgehender Datenverkehr entzieht sich Kontrolle

Übliche Filter- und Monitoring-Lösungen, die den unerlaubten Versand vertraulicher Daten verhindern sollen, überwachen den http-Verkehr, während sich https-Verbindungen dieser inhaltsbezogenen Kontrolle durch die Verschlüsselung entziehen können. Unvorsichtige, aber auch böswillige Mitarbeiter könnten dadurch gefährliche Inhalte in das interne Netzwerk bringen und vertrauliche Informationen heimlich ins Internet übertragen.

Der Schutz personenbezogener Daten durch SSL-Verschlüsselung öffnet also unter Umständen das Tor für den Datendiebstahl via SSL-Verbindung.

http-Schutz auf https ausweiten
Die Forderung aus Sicht der Datensicherheit ist schnell formuliert: Alle Schutzmaßnahmen für den ein- und ausgehenden Datenverkehr, die für http-Verbindungen etabliert wurden, sollen auch für https funktionieren.

Zudem müssen die Sicherheitszertifikate grundsätzlich automatisch überprüft werden und nicht durch den einzelnen Anwender zugelassen oder abgelehnt werden.

Herausforderung Scannen von SSL-Datenströmen

Während sich das Zertifikatsmanagement unter anderem durch entsprechende Funktionen in einem modernen Webbrowser verbessern lässt (automatische Zertifikationsprüfung mit CRL (Certificate Revocation List) und OCSP (Online Certificate Status Protocol)), stellt das Scannen von SSL-Datenströmen eine größere Herausforderung dar. Dafür sind aber spezielle Lösungen auf dem Markt verfügbar.

SSL-Verbindung temporär entschlüsseln

Solche SSL-Scanner arbeiten in der Regel nach dem Prinzip, den SSL-Datenstrom für eine kurze Zeit zu entschlüsseln, die bei http-Verbindungen wirksamen Sicherheitslösungen und Filter anzuwenden und dann den Datenstrom wieder zu verschlüsseln.

Hierbei ist allerdings Vorsicht angebracht:
  • So muss der Schutz der Daten auch während der temporären Entschlüsselungsphase gewährleistet sein, um die Verwendung von SSL nicht ad absurdum zu führen.
  • Die entschlüsselten Inhalte dürfen den SSL-Scanner, also die dafür eingesetzte Sicherheitsappliance, nicht verlassen.
  • Das Dateisystem der Appliance muss einen starken Zugangs- und Zugriffsschutz aufweisen.
  • Ebenso dürfen keine Datenspuren in dem SSL-Scanner verbleiben.
  • Der Datenschutzbeauftragte sollte sich hierbei insbesondere die mögliche Protokollierung durch den SSL-Scanner genau ansehen, ob in den Log-Dateien personenbezogene Daten zu finden sind.
  • Die digitalen Sicherheitszertifikate müssen zudem automatisch auf Echtheit, Unversehrtheit und Gültigkeit geprüft werden.
  • Durch ein so geschütztes Entschlüsseln und Verschlüsseln des vollständigen eingehenden und ausgehenden SSL-Verkehrs kann das Ziel von verschlüsselten und gleichzeitig sicheren Internettransaktionen erreicht werden.

Oliver Schonschek
Oliver Schonschek, Diplom-Physiker, ist freier IT-Fachjournalist, ist Herausgeber des WEKA-Werks „IT-Know-how für den Datenschutzbeauftragten“ und Autor bei dem WEKA-Werk „Datenschutz online“.

Sie glauben, Sie hätten noch so viel Zeit? Falsch! Es gibt mehr zu tun, als Sie vielleicht denken! ▶ Zeit zu handeln