HTTPS (HyperText Transfer Protocol Secure) gewährleistet eine sichere Kommunikation über ein Computernetzwerk, typischerweise das Internet. Es verwendet Verschlüsselung, um die Datenintegrität und den Datenschutz zu schützen. Hier sind die Schritte:
HTTPS funktioniert durch den Aufbau einer sicheren Verbindung zwischen einem Client (z. B. einem Webbrowser) und einem Server (z. B. einer Website). Der Prozess umfasst die folgenden Schritte:
- Client Hello: Der Client initiiert die Verbindung, indem er eine „Client Hello“-Nachricht an den Server sendet und dabei unterstützte kryptografische Algorithmen und andere Parameter angibt.
- Server Hello: Der Server antwortet mit einer „Server Hello“-Nachricht, bestätigt den gewählten Verschlüsselungsalgorithmus und stellt sein digitales Zertifikat bereit.
- Authentifizierung: Der Client überprüft das Zertifikat des Servers auf Authentizität. Dabei wird überprüft, ob das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) ausgestellt wurde und ob die Domäne des Servers mit den Informationen im Zertifikat übereinstimmt.
- Sitzungsschlüssel: Nach der Authentifizierung einigen sich Client und Server auf Sitzungsschlüssel unter Verwendung asymmetrischer Verschlüsselung (z. B. RSA) für einen sicheren Datenaustausch.
- Sichere Verbindung: Sobald Sitzungsschlüssel eingerichtet sind, wird die gesamte weitere Kommunikation zwischen Client und Server, einschließlich HTTP-Anfragen und -Antworten, mit symmetrischer Verschlüsselung (z. B. AES) verschlüsselt.
- Datenübertragung: Der Client sendet eine verschlüsselte HTTP-Anfrage an den Server. Der Server entschlüsselt die Anfrage mithilfe der gemeinsam genutzten Sitzungsschlüssel, verarbeitet sie und sendet eine verschlüsselte HTTP-Antwort an den Client zurück.
- Sitzungsabschluss: Nach Abschluss der Kommunikation kann jede Partei den Abschluss der sicheren Sitzung einleiten und so die Datensicherheit während des gesamten Prozesses gewährleisten.
HTTPS umfasst mehrere Stufen, um eine sichere Datenübertragung zu gewährleisten:
- Handshake: Stellt eine sichere Verbindung zwischen Client und Server her.
- Verschlüsselung: Schützt die Datenintegrität und -vertraulichkeit mithilfe von Verschlüsselungsalgorithmen.
- Authentifizierung: Verifiziert die Identität der Kommunikationsparteien durch digitale Zertifikate und Zertifizierungsstellen (CAs).
- Datenaustausch: Erleichtert den sicheren Austausch von HTTP-Daten zwischen Client und Server.
SSL (Secure Sockets Layer) ist ein Vorgänger von TLS (Transport Layer Security) und bezieht sich auf das kryptografische Protokoll, das die Kommunikation über ein Netzwerk sichert. Zu den Schritten bei SSL gehören:
- Handshake: Initiiert die Kommunikation zwischen Client und Server.
- Authentifizierung: Verifiziert die Identität des Servers mithilfe digitaler Zertifikate.
- Sitzungsschlüsselaustausch: Erzeugt Sitzungsschlüssel zum Verschlüsseln von Daten.
- Datenübertragung: Erleichtert den sicheren Datenaustausch zwischen Client und Server.
- Sitzungsabschluss: Beendet die SSL-Verbindung, nachdem der Datenaustausch abgeschlossen ist.
HTTP (HyperText Transfer Protocol) und HTTPS unterscheiden sich vor allem in ihren Sicherheitsmechanismen:
- HTTP: Überträgt Daten im Klartext, wodurch sie anfällig für Abfangen und Änderungen sind.
- HTTPS: Verschlüsselt Daten mit SSL/TLS-Protokollen und gewährleistet so eine sichere und private Kommunikation zwischen Client und Server.