Zum Inhalt springen 
Die Enthüllungen von Whistleblower Edward Snowden haben gezeigt, dass die NSA Daten massenweise sammelt. Zwar kann sie einen Teil der Informationen heute nicht entschlüsseln, in Zukunft wäre dies unter Umständen möglich. Webmaster können sich und ihre Besucher heute vor einer morgigen Entschlüsselung schützen.
Edward Snowden hat der Welt gezeigt, dass keine Daten vor den Geheimdiensten sicher sind. Sie sammeln (vorsichtshalber) alle Informationen ein, die ihnen über den Weg laufen. Ein Teil dieser Daten sind verschlüsselt, beispielsweise über eine HTTPS-Verbindung. Dazu gehören Webseiten, bei denen sensible Daten übertragen werden, der Kauf eines Produkts oder das Einloggen im E-Mail-Konto oder die Verwendung des Homebankings. All diese Daten werden abgefangen, obwohl sie heute unbrauchbar sind. In wenigen Jahren könnten Geheimdienste sie entschlüsseln.
Die Schwachstelle von HTTPS
Was genau versteht man unter Perfect Forward Secrecy, kurz PFS? Um den Begriff zu erklären, muss zunächst erläutert werden, wie eine SSL-Verschlüsselung arbeitet, die auf Webseiten im Einsatz ist, wo sensible Daten übertragen werden.
Beim Besuch unserer Webseite hoster.online wird ein kleines Schloss in der Suchleiste des Webbrowsers erkennbar. Ein Klick auf das Schloss öffnet Informationen zum SSL-Zertifikat. Mit einem weiteren Klick kann man sich Informationen zu dem Zertifikat ansehen, darunter zum Beispiel das Ablaufdatum.
SSL-Zertifikate kann praktisch jede Webseite nutzen. Die Unterschiede liegen in
– ihrer Verschlüsselung
– ob sie die Domain oder Identität validieren und
– wie hoch ihre Browserkompatibilität ist.
Weiterhin gibt es drei Zertifikatsarten:
1. Single
2. Wildcard
3. Multidomain
Das SSL-Zertifikat funktioniert folgendermaßen: Der User surft eine Webseite an, zum Beispiel hoster.online. Sein Browser kontaktiert den Server, welcher einen öffentlichen Schlüssel angibt, der von der Zertifizierungsstelle ausgestellt wurde. Der Browser prüft die Unterschrift der Zertifizierungsstelle. Wenn diese stimmt, tauscht er mit hoster.online Daten aus. Alle Daten werden fortan verschlüsselt übertragen.
Perfect Forward Secrecy als Schutz gegen die Methoden von morgen
Für die verschlüsselte Übertragung einer HTTPS-Sitzung schlägt der Browser jedes Mal einen geheimen Sitzungsschlüssel vor. Der Server bestätigt diesen Schlüssel.
Das Problem an der Methode ist, dass Geheimdienste wie die NSA die Übertragung des Schlüssels aufzeichnen kann. In absehbarer Zeit wäre es möglich, dass ihn zu entschlüsseln. Dadurch wäre sie imstande, sämtliche Daten, die auf hoster.online übertragen wurden, auszulesen.
In der Vergangenheit gab es bereits Probleme mit HTTPS. Der Bug Heartbleed, welcher Webseiten seit 2011 großen Sicherheitslücken ausgesetzt hat, betraf zwei von drei Webseiten im Internet. Heartbleed war ein Programmierfehler in der Software OpenSSL. Er gab Hackern, die sich per HTTPs zu einem Server mit einer verwundbaren Version von OpenSSL verbanden, Zugang zu 64 KB privatem Speicherplatz. Durch die Attacke leakten Server Cookies, Passwörter und E-Mail-Adressen. Betroffen waren große Dienste wie Yahoo Mail und LastPass.
Die Lösung für solche Szenarien ist Perfect Forward Secrecy: Mit dem sogenannten Diffie-Hellman-Verfahren einigen sich die beiden Kommunikationspartner – in diesem Fall Webbrowser und Server – auf einen temporären Sitzungsschlüssel. Dieser wird zu keinem Zeitpunkt übertragen. Sobald die Sitzung abgeschlossen ist, wird der Schlüssel zerstört.
PFS in der Praxis und die Zukunft
Leider gibt es zwei schlechte Nachrichten:
1. Derzeit nutzen nur wenige Webseiten PFS.
2. Alle bisher ausgetauschten Daten können nicht mehr verschlüsselt werden.
Dennoch sollten Webseiten zumindest ab jetzt Perfect Forward Secrecy implementieren, um dafür zu sorgen, dass keine Daten trotz Verschlüsselung früher oder später gelesen werden können.
Für die Implementierung von PFS empfiehlt Ivan Ristic von Security Labs folgende Suiten:
– TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
– TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
– TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA
Webmaster können ihre Webseite auf ssllabs.com testen und sich anschließend für entsprechende Maßnahmen entscheiden.
Nach der Implementierung von Perfetct Forward Secrecy können Dienste wie die NSA und der BND Daten nur noch mit Man-in-the-Middle-Attacken auslesen. In allen anderen Fällen wird FPS den Lauschern ein großer Dorn im Auge sein.
