Sicheres Bezahlen durch SSL Verschlüsselung

http://www.netzwelt.de/news/85067-netzwelt-wissen-ssl-verschluesselung.html 

Das SSL-Protokoll schafft unter drei Gesichtspunkten sichere Verbindungen:

1.   Die Verbindung ist im besten Sinne privat, weil ihr Inhalt nur verschlüsselt über das Netz geht.

2.   Die Identität des Servers steht fest.

3.  Wirkungungsvolle Algorithmen prüfen, ob die Daten vollständig und unverändert ihren jeweiligen Empfänger

  

Verschlüsselung und Authentisierung in einem 3- Schritte Verfahren:

 

SSL ist dazu gedacht, dass sich Client und Server virtuell die Hände schütteln, statt sich nur zu unterhalten. Der gesamte Prozess teilt sich in drei Phasen auf: Im ersten Schritt stellt der Browser des Client zum HTTP-Server unter einer bestimmten Domain, also etwa www.ideas-in-boxes.de, eine...  (mehr lesen)

...HTTPS-Verbindung her. Dieser ist statt "http://" die Abkürzung "https://" vorangestellt, sodass sowohl Client als auch Server die sichere Anfrage von den unsicheren Anfragen unterscheiden können. Die Verbindung kommt regulär durch Umsetzung der Domain in eine IP-Adresse und dem Aufbau einer TCP-/IP-Kommunikation zu Stande. Der Client sendet an den Server eine Hallo-Mitteilung: In dieser teilt er mit, welche die modernste Fassung von SSL bzw. TLS ist, die er versteht. Der Server beantwortet das "Hallo" mit einer eigenen Bestätigungsmitteilung.

Im zweiten Schritt sendet der Server an den Client sein Zertifikat: Dieses ist üblicherweise nach dem X.509-Standard in Version 3.0 geschrieben und enthält Angaben über den Inhaber und seine Adresse, die Domain und die Gültigkeit des Zertifikats. Zusätzlich stecken im Zertifikat die Informationen zum Aussteller, die für die Validierung des Zertifikats wichtig sind: Mittels sogenannter Master-Zertifikate, die in der Rangordnung über denen der Kunden stehen, kann er die virtuelle Unterschrift des Ausstellers wie VeriSign oder Thawte direkt überprüfen.

In jedem Zertifikat sind weitere Schlüssel und Hinweise zum Signaturalgorithmus enthalten, über die das vollautomatisch möglich ist. Jeder moderne Browser und jedes moderne Betriebssystem bringt eine Reihe von Master-Zertifikaten der weltweit wichtigsten Authensisierungsinstitutionen mit. Bei Bedarf kann der Server ebenfalls ein Zertifikat zur Authensisierung des Clients anfordern, was jedoch eher theoretisch in SSL vorgesehen ist - in der Praxis verläuft der SSL-/TLS-Handshake meist ohne diesen Schritt.

Der letzte Schritt zu einer sicheren Verbindung besteht darin, dass Client sowie Server einen Schlüssel zur Kodierung der Daten einigen. Da SSL und TLS stets symmetrische Verschlüsselungsverfahren wie DES oder AES nutzen, erspart es den teilnehmenden Browsern und HTTP-Servern eine ganze Menge Arbeit: Bei einer symmetrischen Verschlüsselung dient ein und derselbe Schlüssel sowohl für Kodierung als auch Decodierung. Der geheime Schlüssel wird aus dem so genannten Master Secret abgeleitet, das wiederum abgeleitet wird aus dem Pre-Master-Secret. Letzteres ist eine zufällige Zeichenkette mit 32 Byte Länge.

false