SSL, Secure Socket Layer, ist ein älteres Protokoll, das eine verschlüsselte Verbindung zwischen einem Client und einem Server aufbauen sollte.
Es wurde vor allem für das Web bekannt, weil es Adresse, Inhalt und Anmeldedaten auf dem Weg schützt.
Heute ist SSL selbst veraltet, der Name hält sich in Zertifikaten und in der Alltagssprache.
Geschichte von SSL
SSL entstand in den neunziger Jahren, damit Browser und Server vertrauliche Daten austauschen konnten, ohne dass das Netz selbst vertrauenswürdig sein musste.
Mehrere Protokollfassungen folgten aufeinander und schlossen jeweils Schwächen der vorigen.
Die heutigen Systeme sprechen nach dem Verbindungsaufbau in der Regel das Nachfolgeprotokoll.
Übergang zu Transport Layer Security (TLS)
Der Übergang zu Transport Layer Security hat die Aufgabe von SSL übernommen und die bekannten Fassungen von SSL abgelöst.
TLS bewahrt die Idee von Handshake, Zertifikat und verschlüsseltem Kanal und ändert die konkreten Verfahren.
Wer noch von einem SSL-Zertifikat spricht, meint meist ein Zertifikat, das für TLS verwendet wird.
Funktionsweise von SSL
SSL vereinbart zu Beginn einer Verbindung Algorithmen, prüft ein Zertifikat und leitet daraus Schlüssel für die eigentlichen Daten ab.
Danach sind die Nutzdaten für Beobachter auf dem Weg nicht mehr im Klartext lesbar und Veränderungen fallen auf.
Der Schutz gilt für diese Verbindung, nicht automatisch für alles, was der Server später mit den Daten tut.
SSL-Handshake
Im SSL-Handshake stellt der Client die Verbindung vor, der Server antwortet mit seinem Zertifikat und beide Seiten erzeugen das gemeinsame Geheimnis.
Der Client prüft, ob das Zertifikat zur aufgerufenen Adresse passt und von einer vertrauenswürdigen Stelle bestätigt wurde.
Schlägt diese Prüfung fehl, darf die Anwendung die vertraulichen Daten nicht senden.
Bedeutung von SSL
Die Bedeutung von SSL und seinem Nachfolger liegt darin, dass das offene Netz trotzdem für Zahlungen, Postfächer und Verwaltung taugt.
Betreiber weisen ihre Identität über Zertifikate nach, Nutzer erkennen an der Adresse und an der erfolgreichen Prüfung, mit wem sie sprechen.
Ohne diesen Kanal wären Anmeldedaten auf jedem dazwischenliegenden Netz lesbar.
SSL und SEO
SSL und SEO hängen zusammen, weil Suchmaschinen erreichbare, verschlüsselte Seiten als den normalen Zustand des Webs behandeln.
Eine unverschlüsselte Fassung sollte dauerhaft auf die geschützte Adresse umleiten, damit Inhalte nicht doppelt erscheinen.
Verschlüsselung ersetzt keine brauchbare Seite, sie ist die Voraussetzung dafür, dass der Inhalt vertrauenswürdig ausgeliefert wird.
Arten von SSL-Zertifikaten
SSL-Zertifikate unterscheiden sich darin, wie gründlich die ausstellende Stelle den Antragsteller geprüft hat und für wie viele Namen das Zertifikat gilt.
Die technische Verschlüsselung ist bei gleicher Konfiguration gleich stark.
Was sich ändert, ist das Vertrauen in die angezeigte Identität.
SSL-Zertifikate mit Domainvalidierung (DV)
Zertifikate mit Domainvalidierung bestätigen, dass der Antragsteller die genannte Domain beherrscht, etwa über einen DNS-Eintrag oder eine Datei auf dem Server.
Sie sagen nichts über den rechtlichen Namen der Organisation.
Für viele Websites ist das die passende, schnell ausstellbare Stufe.
Organisation Validation (OV) SSL-Zertifikate
Organisation Validation SSL-Zertifikate ergänzen die Domainprüfung um eine Kontrolle, ob die genannte Organisation existiert und den Antrag verantwortet.
Besuchende können den geprüften Namen in den Zertifikatsdetails sehen.
Die Ausstellung dauert länger, weil Unterlagen und Ansprechpartner geprüft werden.
Extended Validation (EV) SSL-Zertifikate
Extended Validation SSL-Zertifikate verlangen eine noch strengere Identitätsprüfung der Organisation nach den Regeln der ausstellenden Stellen.
Sie ändern die Mathematik der Verschlüsselung nicht, sie erhöhen die Sorgfalt bei der Frage, wer den Server betreibt.
Browser zeigen diese Stufe heute zurückhaltender an als in früheren Jahren, die Prüfung in den Details bleibt verfügbar.
Schlussfolgerung
SSL hat den verschlüsselten Kanal für das Web etabliert und ist als Protokoll von TLS abgelöst worden.
Der Handshake und das Zertifikat bleiben die sichtbaren Bausteine, an denen Clients Vertrauen festmachen.
Wer eine Adresse anbietet, wählt die passende Prüftiefe des Zertifikats und hält den Kanal auf dem aktuellen Nachfolgeprotokoll.