how HTTPS works

1. HTTPS
secure connections for the
interwebtz
Web Technology - WS 2014 / 15
Stephan Lindauer, Johannes Engl

2. Inhalt
●Risiken von HTTP
●Funktionsweise von HTTPS
●Kasperletheater
●Über dem Tellerrand
●Setup von HTTPS auf Webserver

3. Das Problem

4. Das Problem

5. Das Problem

7. Das Problem
Wireless Network

8. Das Problem
Wireless Network

9. HTTPS
● HyperText Transfer Protocol Secure
● Protokoll um Daten im Web abhörsicher zu übertragen
● Entwickelt von Netscape, first release 1994 mit SSL 1.0
● Syntaktisch identisch mit HTTP
● Verschlüsselung funktioniert mittels SSL/TLS

10. HTTPS im Osi-Modell

11. HTTPS
Verschlüsselte Übertragung
+
Zertifizierung
= 2 *

12. Crypto 101
“Wenn du Daten mit meinem
Public Key verschlüsselst, kann
nur ich mit meinem Private Key
die Nachricht entschlüsseln”
Private
Public
“plain text”
“9adsf89uz
asdf908h12
89389123h
8h”
“plain text”

13. Crypto 101
“Wenn du Daten mit meinem
Public Key verschlüsselst, kann
nur ich mit meinem Private Key
die Nachricht entschlüsseln”
Private
Public
“plain text”
“9adsf89uz
asdf908h12
89389123h
8h”
“plain text”
öffentlich!!!

14. Crypto 101
“Wenn du Daten mit meinem
Public Key verschlüsselst, kann
nur ich mit meinem Private Key
die Nachricht entschlüsseln”
Private
Public
“plain text”
“9adsf89uz
asdf908h12
89389123h
8h”
“plain text”
öffentlich!!!

15. Crypto 101
“Ich kann dir beweisen, dass
ich im Besitz eines
bestimmten
Geheimnisses bin”

16. Crypto 101
“Ich kann dir beweisen, dass
ich im Besitz eines
bestimmten
Geheimnisses bin, ...”
“...ohne dir das Geheimnis zu
zeigen!!!”

17. Crypto 101
Private
Public
+Daten
+
=
Signatur

18. Verbindungsaufbau
Client Server
Client Hello
Zertifikat, Public Key
Symetrischer Cypher verschlüsselt
GET /
Response

19. Verbindungsaufbau

20. Fragen
● Warum macht man nicht hin und zurück immer
Asynchrone Verschlüsselung?
● Wie sicher ist die Verschlüsselung?

21. Fragen
● Warum macht man nicht hin und zurück immer
Asynchrone Verschlüsselung?
● Wie sicher ist die Verschlüsselung?

22. ● Extended vs Normal
○ Identität, Adresse, Eigentümer der Domain
○ für Behörden, Personengesellschaften,
Kapitalgesellschaften, e.V. und
Einzelunternehmer
Probleme mit Zertifikaten

23. ● Extended vs Normal
○ Identität, Adresse, Eigentümer der Domain
○ für Behörden, Personengesellschaften,
Kapitalgesellschaften, e.V. und
Einzelunternehmer
● Zertifikate vs Favicon
Probleme mit Zertifikaten

24. ● Was passiert wenn eine Certificate Authority gehackt
wird?
Probleme mit Zertifikaten
● Single point of failure
● Rolle der
Browserhersteller

25. Probleme mit Zertifikaten

26. ● Was passiert wenn eine Certificate Authority gehackt
wird?
Probleme mit Zertifikaten
> 500 Zertifikate
> 5 Monate offen

27. Hands on HTTPS aufsetzen

28. ● IT-Sicherheit, Eckert, Claudia, ISBN: 978-3-486-77848-9
● https://www.youtube.com/watch?v=CNXl56HuJaE,
Abgerufen: 10.12.14
● http://landofthefreeish.com/security/md5-collision-creates-
rogue-certificate-authority/
Abgerufen: 10.12.14
● http://www.heise.de/security/meldung/Der-Diginotar-SSL-
Gau-und-seine-Folgen-1423893.html
Abgerufen: 10.12.14
Weiterführende Links

29. Fragen?