Zum Hauptinhalt springen

🔒 Was ist HTTPS und SSL/TLS?

📖 Definition​

HTTPS (HyperText Transfer Protocol Secure) ist ein Protokoll, das HTTP eine Sicherheitsschicht hinzufügt. SSL (Secure Sockets Layer) und TLS (Transport Layer Security) sind Protokolle, die Internetkommunikation verschlüsseln, wobei TLS der Nachfolger von SSL ist. Sie verschlüsseln Daten, die zwischen Websites und Benutzern übertragen werden, für eine sichere Übertragung.

🎯 Verstehen mit Analogie​

Normale Post vs Einschreiben​

  • HTTP: Wie eine Postkarte, bei der jeder den Inhalt lesen kann
  • HTTPS: Wie versiegeltes Einschreiben, das nur der Empfänger öffnen kann
  • SSL/TLS-Zertifikat: Offizieller Zertifizierungsstempel auf der Post

Wenn Sie ein Passwort per normaler Post (HTTP) senden, können Postangestellte oder andere Personen es sehen, aber versiegeltes Einschreiben (HTTPS) kann nur der Empfänger öffnen.

⚙️ Funktionsweise​

1. SSL/TLS-Handshake-Prozess​

1. Client → Server: "Ich möchte eine sichere Verbindung starten"
   - Sendet Liste unterstützter Verschlüsselungsmethoden

2. Server → Client: "Hier ist mein Zertifikat"
   - Sendet SSL/TLS-Zertifikat und öffentlichen Schlüssel

3. Client: Validiert Zertifikat
   - Prüft, ob von vertrauenswürdiger CA (Zertifizierungsstelle) ausgestellt
   - Überprüft Gültigkeit des Zertifikats

4. Client → Server: Erstellt verschlüsselten Sitzungsschlüssel
   - Verschlüsselt Sitzungsschlüssel mit öffentlichem Schlüssel des Servers und sendet

5. Server: Entschlüsselt Sitzungsschlüssel
   - Entschlüsselt Sitzungsschlüssel mit eigenem privaten Schlüssel

6. Sichere Kommunikation beginnt
   - Alle Daten werden mit Sitzungsschlüssel verschlüsselt übertragen

2. Verschlüsselungsmethoden​

Asymmetrische Verschlüsselung (Handshake)
├─ Öffentlicher Schlüssel: Verschlüsselt Daten
└─ Privater Schlüssel: Entschlüsselt Daten

Symmetrische Verschlüsselung (Eigentliche Kommunikation)
└─ Sitzungsschlüssel: Schnelle Ver-/Entschlüsselung

💡 Echte Beispiele​

HTTP vs HTTPS Vergleich​

// ❌ HTTP - Nicht sicher
// http://example.com/login
// Passwort im Klartext gesendet
POST /login
Content-Type: application/json

{
  "username": "user123",
  "password": "mypassword123"  // Jeder kann es sehen!
}

// ✅ HTTPS - Sicher
// https://example.com/login
// Alle Daten verschlüsselt
POST /login
Content-Type: application/json

{
  "username": "user123",
  "password": "mypassword123"  // Während Übertragung verschlüsselt
}

SSL/TLS-Zertifikat Überprüfen​

Beim Klicken auf das Schloss-Symbol im Browser:

✅ Sichere Website
- Ausgestellt für: example.com
- Ausgestellt von: Let's Encrypt (Vertrauenswürdige CA)
- Gültig: 2024-01-01 ~ 2024-12-31
- Verschlüsselung: TLS 1.3

⚠️ Vorsicht erforderlich
- Zertifikat abgelaufen
- Selbstsigniertes Zertifikat
- Zertifikatsdomain und Website-Domain stimmen nicht überein

HTTPS-Server in Node.js Erstellen​

const https = require('https');
const fs = require('fs');

// SSL/TLS-Zertifikat laden
const options = {
  key: fs.readFileSync('private-key.pem'),    // Privater Schlüssel
  cert: fs.readFileSync('certificate.pem')     // Zertifikat
};

// HTTPS-Server erstellen
https.createServer(options, (req, res) => {
  res.writeHead(200);
  res.end('Sichere HTTPS-Verbindung!');
}).listen(443);

console.log('HTTPS-Server läuft auf Port 443');

🤔 Häufige Fragen​

F1. Was ist der Unterschied zwischen SSL und TLS?​

A: SSL ist das ältere Protokoll, TLS ist die verbesserte neuere Version. Trotzdem sagt man noch häufig "SSL-Zertifikat", obwohl eigentlich TLS verwendet wird.

SSL 1.0 (Nicht verwendet)
SSL 2.0 (Nicht verwendet)
SSL 3.0 (Nicht verwendet)
TLS 1.0 (Legacy)
TLS 1.1 (Legacy)
TLS 1.2 (Aktuell verwendet) ✅
TLS 1.3 (Neueste, sicherste) ✅

F2. Warum sollten alle Websites HTTPS verwenden?​

A: HTTPS schützt Folgendes:

1. Vertraulichkeit (Confidentiality)
   └─ Dritte können Daten nicht sehen

2. Integrität (Integrity)
   └─ Garantiert, dass Daten unterwegs nicht manipuliert wurden

3. Authentifizierung (Authentication)
   └─ Beweist, dass die besuchte Website echt ist

4. SEO-Vorteile
   └─ Google gibt Bonuspunkte für HTTPS-Websites

F3. Was ist Let's Encrypt?​

A: Eine Zertifizierungsstelle (CA), die kostenlose SSL/TLS-Zertifikate ausstellt.

# Auto-Installation mit Certbot
sudo certbot --nginx -d example.com

# Auto-Erneuerung (alle 90 Tage)
sudo certbot renew --dry-run

F4. Was ist die Mixed-Content-Warnung?​

A: Sicherheitswarnung beim Laden von HTTP-Ressourcen auf HTTPS-Seite.

<!-- ❌ Mixed Content - Sicherheitswarnung -->
<html>
  <head>
    <!-- HTTPS-Seite -->
  </head>
  <body>
    <!-- HTTP-Bild laden - Warnung! -->
    <img src="http://example.com/image.jpg">

    <!-- HTTP-Skript - Blockiert! -->
    <script src="http://example.com/script.js"></script>
  </body>
</html>

<!-- ✅ Richtige Weise -->
<html>
  <body>
    <!-- HTTPS verwenden -->
    <img src="https://example.com/image.jpg">

    <!-- Oder protokollrelative URL -->
    <img src="//example.com/image.jpg">
  </body>
</html>

F5. Ist HTTPS langsamer?​

A: Früher ja, aber modernes TLS 1.3 und Hardware-Beschleunigung machen den Unterschied vernachlässigbar.

TLS 1.2 Handshake: 2-RTT (Roundtrip-Zeit)
TLS 1.3 Handshake: 1-RTT
TLS 1.3 Wiederverb.: 0-RTT (sofortige Verbindung!)

+ HTTP/2 unterstützt nur HTTPS → Tatsächlich schneller

🎓 Nächste Schritte​

Nach dem Verständnis von HTTPS, lernen Sie:

  1. Was ist CORS? (Dokument in Vorbereitung) - Wichtige Websicherheit zusammen mit HTTPS
  2. JWT-Token (Dokument in Vorbereitung) - Sichere Authentifizierungsmethode
  3. Was ist DNS? - Domain und Sicherheit

Praktisch Üben​

# 1. Selbstsigniertes Zertifikat erstellen (für Entwicklung)
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes

# 2. HTTPS-Server ausführen
node https-server.js

# 3. Im Browser überprüfen
# https://localhost (Selbstsigniert-Warnung ignorieren und fortfahren)

🎬 Zusammenfassung​

HTTPS und SSL/TLS sind wesentliche Sicherheitstechnologien für das moderne Web:

  • HTTPS: Protokoll, das HTTP eine Sicherheitsschicht hinzufügt
  • SSL/TLS: Sicherheitsprotokolle, die Daten verschlüsseln
  • Zertifikat: Digitale ID, die Website-Identität beweist
  • Verschlüsselung: Technologie, die Daten sicher schützt

Alle Websites sollten HTTPS verwenden, um Benutzer zu schützen. Dank Let's Encrypt ist es jetzt einfach, es kostenlos anzuwenden! 🔒✨