Einbruchschutz

SSL-Verbindungen mittels Pinning besser sichern

Wissen | Know-how

Die SSL-Verschlüsselung lässt sich verblüffend leicht austricksen – wegen gravierender Konzeptschwächen. Prinzipiell lassen sich daher HTTPS-Zugriffe aufs Online-Banking und andere vertrauliche Dienste attackieren, der Aufwand ist nicht einmal hoch. Abhilfe versprechen Pinning-Techniken, mit denen sich das Risiko, belauscht zu werden, senken lässt.

Das besser unter seinem alten Namen Secure Socket Layer (SSL) bekannte Transport Layer Security (TLS) gilt landläufig als Garant für vertrauliche, weil verschlüsselte Online-Kommunikation. Doch das SSL-System lässt sich austricksen:

Bevor eine verschlüsselte SSL-Verbindung aufgebaut wird, muss sich üblicherweise der Server gegenüber dem Client ausweisen. Andernfalls wäre für den Client unklar, ob er mit dem richtigen Server kommuniziert, und Angreifer könnten so leicht Fallen stellen. Als Ausweis wird bei SSL ein digitales Zertifikat eingesetzt. Darin beglaubigt der Aussteller dem Nutzer dessen Identität. Als Aussteller arbeiten Zertifizierungsstellen, die im Grundsatz als vertrauenswürdig gelten (Certificate Authorities). ...

Sie möchten wissen, wie es weitergeht?

Als c't-Plus-Abonnent gratis lesen

Anmelden als c't-Plus-Abonnent

weiterführende Links

Weitere Bilder

  • Fehler, Warnungen und Änderungen an den Vorgaben schreibt EMET in die Windows-Ereignisanzeige, die man über eine eigene Ansicht aus der Nachrichtenfülle filtern kann.
  • Mit Cert Pinner lässt sich das CA-Pinning auf Android 4.2 beeinflussen und testen.

Anzeige
Anzeige