SSL/TLS (Secure Sockets Layer / Transport Layer Security)

Was ist SSL/TLS?

SSL (Secure Sockets Layer) und TLS (Transport Layer Security) sind kryptografische Protokolle, die Kommunikation über Netzwerke sichern. TLS ist der moderne Nachfolger von SSL, aber "SSL" wird noch häufig verwendet, um beide zu bezeichnen. Diese Protokolle ermöglichen HTTPS, das Daten zwischen Browsern und Servern verschlüsselt.

SSL und TLS: ein kurzer Überblick

Moderne Systeme sollten ausschließlich TLS 1.2 oder TLS 1.3 verwenden.

Wie TLS funktioniert

Der TLS-Handshake

1. Client Hello: Browser sendet unterstützte TLS-Versionen und Cipher-Suites

2. Server Hello: Server wählt TLS-Version und Cipher-Suite

3. Certificate: Server sendet sein SSL-Zertifikat

4. Key Exchange: Sichere Schlüssel-Austausch (variiert nach Cipher-Suite)

5. Finished: Verschlüsselte Session etabliert

Client                          Server
  |-- Client Hello -------------->|
  |<-- Server Hello --------------|
  |<-- Certificate ---------------|
  |<-- Key Exchange --------------|
  |-- Key Exchange -------------->|
  |-- Finished ------------------>|
  |<-- Finished ------------------|
  |<======= Encrypted Session ===>|

TLS 1.3 reduziert das auf einen einzelnen Round-Trip und verbessert Performance.

SSL/TLS-Zertifikate

Was enthält ein Zertifikat?

• Subject: Domain-Namen, die das Zertifikat abdeckt
• Issuer: Zertifikats-Autorität (CA), die es ausgestellt hat
• Validity Period: Start- und Ablauf-Daten
• Public Key: Zum Etablieren verschlüsselter Verbindungen
• Signature: CA's kryptografische Signatur

Zertifikatstypen

• In Minuten ausgestellt
• Kostenlos (Let's Encrypt) oder günstig
• Zeigt Padlock, keine Organisations-Infos

• Erfordert Geschäfts-Verifikation
• Zeigt Organisations-Namen in Zertifikats-Details
• Höheres Vertrauen, moderat Kosten

• Strenge Identitäts-Verifikation
• Zeigt früher grüne Bar (Browser entfernt das)
• Höchste Kosten, höchstes Vertrauen

Zertifikatsumfang

Implementierung von SSL/TLS

Kostenlose Zertifikate mit Let's Encrypt

# Using Certbot
sudo certbot --nginx -d example.com -d www.example.com

# Auto-renewal
sudo certbot renew --dry-run

Zertifikate von Cloud-Anbietern

Die meisten Cloud-Plattformen bieten kostenlose, automatisch erneuerte Zertifikate:

• Cloudflare: Automatisch für proxied Domains
• AWS: Certificate Manager (ACM)
• Google Cloud: Managed SSL Certificates

Zertifikatsprüfung

Browser verifizieren Zertifikate durch:

1. Überprüfen der Zertifikats-Kette zu einer vertrauenswürdigen Root CA

2. Verifizieren, dass das Zertifikat nicht abgelaufen ist

3. Bestätigung, dass der Domain passt

4. Überprüfung des Revokations-Status (CRL/OCSP)

Bewährte Vorgehensweisen für SSL/TLS

Serverkonfiguration

ssl_protocols TLSv1.2 TLSv1.3;

ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;

Zertifikatsverwaltung

• Automatisieren Sie Erneuerung: Zertifikate verfallen (90 Tage für Let's Encrypt)
• Überwachen Sie Ablauf: Stellen Sie Alerts vor Zertifikat-Ablauf ein
• Verwenden Sie CAA-Einträge: Beschränken Sie, welche CAs Zertifikate ausstellen können

SSL/TLS überprüfen

curl "https://domscan.net/v1/health?domain=example.com"
# Returns SSL validity, issuer, expiration

openssl s_client -connect example.com:443 -servername example.com

Häufige SSL-Probleme

SSL/TLS ist nicht länger optional – alle Websites sollten HTTPS für Sicherheit und SEO-Vorteile verwenden.