Wenn die Browser-Leiste plötzlich grün wird Das Prinzip »Ampel« in der SSL-Verbindung

Neue, so genannte »EV SSL«-Zertifikate machen es in Kombination mit Browsern ab dem Internet Explorer 7 möglich: Die URL-Leiste im Browser wird grün, wenn keine Sicherheitsbedenken bestehen.

Anbieter zum Thema

bb-net media GmbH

WatchGuard Technologies GmbH

Soft & Cloud GmbH

Microsoft Deutschland GmbH

Das Verschlüsselungsprotokoll »Transport Layer Security« (TLS), das in der Regel unter dem Zweitnamen »Secure Sockets Layer« (SSL) geführt wird, geht in die nächste Generation: Seit Version 7 des Internet Explorers und zeitlich analog bei Alternativ-Browsern, sorgen EV-SSL-Zertifikate für mehr Farbe beim sicheren Surfen.

Eine grüne Färbung der URL-Leiste signalisiert seither sichere Verbindungen mit Webservern authentifizierter Website-Betreiber. Die neue Version spricht auch unbedarftere Surfer an, die mit dem SSL-Schloss-Symbol nichts anfangen konnten, oder es beispielsweise für eine Handtasche hielten. Als Basis dient die SSL-Technologie, die durch das https (Hypertext Transfer Protocol Secure) realisiert wurde.

Mithilfe von SSL werden Daten durch eine (vom SSL-Zertifikat des Servers) aktivierte Verschlüsselung geschützt. Ein SSL-Zertifikat, das Websitebetreiber bei so genannten Trustcentern (auch Zertifizierungsstellen, »Certificate Authorities« oder CAs genannt) erwerben können, besteht aus einem öffentlichen und einem privaten Schlüssel. Der öffentliche wird für die Verschlüsselung der Informationen verwendet, der private für die Entschlüsselung. Wenn ein Browser eine gesicherte Domain anzeigt, werden der Server und der Client durch einen »SSL-Handshake« authentifiziert. Außerdem werden ein Verschlüsselungsverfahren sowie ein eindeutiger Sitzungsschlüssel eingerichtet. Danach kann eine sichere Sitzung begonnen werden, bei der der Datenschutz und die Integrität für Nachrichten garantiert werden kann.

EV SSL – die Vorgeschichte

2006 hat eine Gruppe aus SSL-Zertifizierungsstellen zusammen mit Browser-Anbietern die entsprechenden Standards entwickelt. Dabei wurden Verfahren für die Genehmigung und Anzeige neuer SSL-Zertifikate, nach dem so genannten Extended-Validation-Standard (Arbeitstitel »High Assurance«) beschlossen.

EV SSL – die Neuerungen

Wenn Kunden eine Website besuchen, die mit einem EV-SSL-Zertifikat gesichert ist, wird die Adressleiste in den Browsern grün hinterlegt und der im Zertifikat angegebene Name der Organisation sowie die Zertifizierungsstelle werden abwechselnd angezeigt. Diese Anzeige wird vom Browser und der Zertifizierungsstelle gesteuert. Bei bekannten Pishing-Sites wird die Browserleiste im Umkehrschluss in der warnenden Signalfarbe Rot eingefärbt.

Richtlinien zur Authentifikation

Websitebetreiber, die ein EV-SSL-Zertifikat bei einer Zertifizierungsstelle beantragen, müssen nicht nur meist jährliche Lizenzgebühren entrichten, sondern auch einen strengen Richtlinienkatalog erfüllen. Beispielsweise müssen sich Unternehmen als solche ausweisen (in der Regel per Handelsregisterauszug). Ferner muss das beantragende Unternehmen nachweisen, dass es über die Kontrolle der zu zertifizierenden Website verfügt. Technisch lässt sich dieser Nachweis erbringen, indem im Auftrag der Zertifizierungsstelle Änderungen am Quellcode vorgenommen werden. Außerdem muss der Antragsteller des Zertifikats persönlich nachweisen, dass er vom Unternehmen dazu beauftragt wurde, EV-SSL-Zertifikate für das Unternehmen zu erwerben.

Einschätzung des Redakteurs:

Irgendwann werden EV SSL-Zertifikate einen so hohen Verbreitungsgrad erreicht haben, dass ein großer Teil der Internetnutzergemeinde auch den Umkehrschluss anstellt: »Wenn meine gesicherte Verbindung nicht grün wird, wie bei meiner Hausbank, dann stimmt etwas nicht.« Ab diesem »Point-of-no-Return«, wird so manche Firma ihre sensiblen Onlinetransaktionen mit den neuen Zertifikaten überarbeiten müssen, wenn sie nicht Gefahr laufen will, Kunden durch Verunsicherung zu verlieren.

(ID:2005419)