Was ist HTTPS?
Durch TLS geschütztes HTTP. Es verschlüsselt den Austausch, erkennt Manipulationen und authentifiziert den Server mit einem Serverzertifikat. URLs beginnen mit https://, und die Standardportnummer ist 443. Anfragen und Antworten haben dieselbe Form wie bei HTTP, darunter liegt eine TLS-Schicht.
Japanische Bezeichnung: HTTPS
„HTTPS“ kommt in 12 Übungsfragen aus 6 Themen vor, z. B. Grundlagen der Computernetzwerke, Grundlagen der Webtechnologien, Grundlagen der Informationssicherheit.
Fachgebiet: Grundlagen der Webtechnologien
Den Server anhand seines Zertifikats prüfen
Ein Serverzertifikat ist ein Domainname mit öffentlichem Schlüssel, für den eine Zertifizierungsstelle (CA) mit einer digitalen Signatur bürgt. Der Browser prüft, ob das Zertifikat über eine Signaturkette zu einer vertrauenswürdigen Root-Zertifizierungsstelle führt, ob es gültig ist, ob es zum Hostnamen in der URL passt und ob es nicht widerrufen wurde. Das verhindert Man-in-the-Middle-Angriffe, bei denen jemand die Verbindung abfängt und sich als der echte Server ausgibt. Schlägt die Prüfung fehl, zeigt der Browser eine Warnung an und bricht die Verbindung ab.
Was es schützt und was nicht
HTTPS schützt Seiteninhalte, Pfad und Query der URL, Header und Cookies vor Abhören und Manipulation unterwegs. Die IP-Adresse des Servers sowie Menge und Zeitpunkt des Verkehrs bleiben sichtbar, und der Domainname lässt sich oft aus DNS-Abfragen oder der SNI erkennen. HTTPS schützt außerdem nur den Kanal; es zeigt nicht, dass der Betreiber der Website vertrauenswürdig ist, denn auch gefälschte Websites können Zertifikate erhalten und HTTPS verwenden. Eingesetzt wird es zusammen mit HSTS, das eine Herabstufung auf HTTP verhindert, und dem Cookie-Attribut Secure, mit dem Cookies nur über HTTPS gesendet werden.
Häufige Fragen
Was ist der Unterschied zwischen HTTP und HTTPS?
HTTPS verschlüsselt den HTTP-Austausch mit TLS und ergänzt Manipulationserkennung und Serverauthentifizierung. Anfragen und Antworten haben dieselbe Form; die Standardports sind 80 für HTTP und 443 für HTTPS. Bei reinem HTTP können Geräte unterwegs den Inhalt lesen oder verändern.
Ist eine Website sicher, nur weil sie HTTPS verwendet?
HTTPS stellt sicher, dass der Verkehr unterwegs nicht mitgelesen oder verändert wird und dass man mit einem Server für diesen Domainnamen verbunden ist. Es garantiert nicht, dass die Website selbst echt oder harmlos ist. Auch Phishing-Websites können HTTPS verwenden, daher sollte man den Domainnamen sorgfältig prüfen.
Verwendet HTTPS Public-Key- oder symmetrische Verschlüsselung?
Beides, für unterschiedliche Aufgaben. Der Handshake nutzt Public-Key-Verfahren für den Schlüsselaustausch und die zertifikatsbasierte Authentifizierung, die eigentlichen Daten werden mit den dort erzeugten Schlüsseln schnell symmetrisch verschlüsselt.