Was sind SSL-Zertifikate?
SSL-Zertifikate sind der elektronische Ausweis, mit dem sich eine Website (beispielsweise Ihre Bank, ein Online-Händler oder eine Behörde) Ihnen gegenüber zweifelsfrei und klar authentifiziert. Damit dieses sicher und zuverlässig funktioniert, kommen asymmetrische Verschlüsselungsverfahren (Kryptografie) und eine allerseits anerkannte und beglaubigte Zertifizierungsstelle ins Spiel.
Asymmetrische Verschlüsselungsverfahren
Bei asymmetrischen Verschlüsselungsverfahren wird ein Schlüsselpaar, bestehend aus einem sogenannten “öffentlichen” Schlüssel und einem sogenannten “privaten” Schüssel, verwendet. Das eröffnet zwei Anwendungsfälle:
Der erste Anwendungsfall ist das Verschlüsseln von Daten. Die Daten werden mit dem öffentlichen Schlüssel verschlüsselt, können aber nur mit dem privaten Schlüssel entschlüsselt werden. Das “öffentliche” Verteilen des öffentlichen Schlüssels ermöglicht dann Anwendern, mit diesem Daten zu verschlüsseln und an den Besitzer des zugehörigen privaten Schlüssels zu senden. Nur und ausschließlich dieser kann mit seinem privaten Schlüssel diese Daten entschlüsseln.
Der zweite Anwendungsfall ist das Signieren von Daten. Dabei wird der private Schlüssel von seinem Besitzer auf die zu signierenden Daten angewendet und eine “kryptisch” aussehende kurze Datenfolge generiert und angehängt. Mit dem zugehörigen öffentlichen Schlüssel kann eindeutig nachgewiesen werden, daß die vorliegenden Daten von dem Besitzer des zugehörigen privaten Schlüssels stammen müssen. Es handelt sich also um eine Art fälschungssichere elektronische Unterschrift.
Mathematisch basiert dieses Verfahren auf Funktionen, die in die eine Richtung leicht, aber in die andere Richtung ausgesprochen schwierig und rechenintensiv auszuführen sind. Beispielsweise die Primfaktorzerlegung.
SSL-Zertifikate und die sichere Verbindung
SSL-Zertifikate sind im Grunde genommen solche eben beschriebenen Schlüsselpaare. Eine Website, die eine SSL-verschlüsselte Verbindung mit ihren Kunden ermöglichen will, erzeugt ein solches Schlüsselpaar bzw. SSL-Zertifikat und lässt sich dieses von einer anerkannten Zertifizierungsstelle bestätigen.
Beim Aufbau der Verbindung fordert der Browser von der Website den öffentlichen Schlüssel des Zertifikats an und vergleicht diesen mit den Daten der anerkannten Zertifizierungsstelle. Natürlich “unterschreibt” die Zertifizierungsstelle die Bestätigung der Identität der besuchten Website ebenfalls mit ihrem privaten Schlüssel. Der öffentliche Schlüssel der Zertifizierungsstelle ist in der Regel dem Browser bekannt. Nach erfolgreicher Authentifizierung wird der Schlüssel, mit dem die zu übertragenden Daten verschlüsselt werden, erzeugt. Dabei wird die Tatsache genutzt, dass nur die Website selbst mit ihrem privaten Schlüssel die vom Browser gesendeten Daten entschlüsseln kann.