Wenn im Internet gesurft wird, dann geschieht das über das HTTP-Protokoll (Hypertext Transfer Protocol), erkennbar an dem "http://", das URLs vorangestellt ist - wobei Browser das seit geraumer Zeit automatisch hinzufügen.
Alternativ gibt es die gesicherte verschlüsselte Verbindung über HTTPS, erkennbar an einer URL die mit https:// beginnt. Heise hat gerade verkündet, dass deren Onlinedienste jetzt vollständing auf HTTPS umgestellt sind.
Dieter (der Technikchef von Nickles.de) meinte, dass wir das auch schon seit über einem halben Jahr geschafft haben und das vielleicht auch mal eine Meldung wert ist. Also: Nickles.de ist seit über 6 Monaten vollständig auf verschlüsselte HTTPS-Übertragung umgestellt.
Der eine oder andere wird sich jetzt fragen was das überhaupt bringen soll. Ganz simpel gesagt, bringt es vor allem dem Internetnutzer diverse Vorteile:
- Er kann dank des Zertifikats des Webservers sicherstellen, dass die Seite mit der er kommuniziert auch wirklich die Seite ist, die er besuchen will.
- Die Daten zwischen dem Browser und dem Server werden verschlüsselt, also weder der Provider, noch eine andere Person im Kommunikationsweg kann den Inhalt lesen. Das gilt zum einen für das, was man beispielsweise auf der Seite postet, aber auch z.B. für Anmeldedaten. Wenn jemand z.B. das gleiche Passwort wie bei Nickles für andere Accounts nutzt, könnte ein abgefangenes Nickles-Passwort andere Accounts kompromittieren.
- Neben dem Inhalt wird auch die Anfrage selbst verschlüsselt, weder der Provider noch jemand anderes sieht, welche Seite auf dem Server man eigentlich wirklich abruft.
- Es ist für Angreifer wesentlich schwieriger beispielsweise über eine XSS-Lücke Schadcode auf einer HTTPS-verschlüsselten Seite unterzubringen, da Browser erwarten, dass alle Inhalte auf einer Seite verschlüsselt übertragen werden (sofern man dies nicht umstellt), sie würden also warnen, wenn da unverschlüsselter Schadcode geladen werden soll.
Kurzum: alles sinnvoll, aber dennoch nichts Großartiges sondern eigentlich der inzwischen angesagte Stand der Technik. Prinzipiell sind Webseiten auch seitens Google dazu gezwungen auf HTTPS umzustellen, da Google gesichterte Seiten besser bewertet.
xafford
hhemer
