TLS-Versionen, Cipher Suites und Perfect Forward Secrecy

TLS (Transport Layer Security) ist das kryptografische Protokoll, das den Großteil der Internetkommunikation absichert – HTTPS, SMTPS, IMAPS, LDAPS und VPNs nutzen TLS. TLS stellt drei Sicherheitseigenschaften bereit: Vertraulichkeit (Verschlüsselung verhindert das Abhören), Integrität (MAC verhindert Manipulationen) und Authentifizierung (Zertifikate überprüfen die Identität des Servers). TLS hat sich aus SSL (Secure Sockets Layer) entwickelt, das inzwischen veraltet ist. Die aktuellen Versionen sind TLS 1.2 (weit verbreitet) und TLS 1.3 (schneller und sicherer, für alle neuen Bereitstellungen empfohlen).

TLS wurde in mehreren Versionen weiterentwickelt, wobei ältere Versionen kritische Schwachstellen enthielten. SSL 2.0/3.0: veraltet und anfällig für POODLE- und DROWN-Angriffe. TLS 1.0: 2020 von NIST und PCI-DSS für veraltet erklärt (anfällig für BEAST und POODLE bei Blockchiffren). TLS 1.1: zusammen mit TLS 1.0 für veraltet erklärt. TLS 1.2: aktueller Mindeststandard; bei korrekter Konfiguration mit starken Cipher-Suites sicher. TLS 1.3: 2018 veröffentlicht; entfernt alle schwachen Algorithmen, schreibt Forward Secrecy vor, bietet einen deutlich schnelleren Handshake (1-RTT statt 2-RTT) und verhindert Downgrade-Angriffe. PCI-DSS 4.0 verlangt mindestens TLS 1.2 und empfiehlt TLS 1.3.

Eine Cipher-Suite ist eine Gruppe kryptografischer Algorithmen, die in einer TLS-Sitzung gemeinsam verwendet werden. Jede Cipher-Suite legt Folgendes fest: einen Schlüsselaustauschalgorithmus (wie Sitzungsschlüssel eingerichtet werden), einen Authentifizierungsalgorithmus (wie der Server überprüft wird), einen Algorithmus für die symmetrische Verschlüsselung (womit die Daten verschlüsselt werden) und einen Message-Authentication-Code-(MAC-)Algorithmus (wie die Integrität überprüft wird). Client und Server handeln während des TLS-Handshakes aus, welche Cipher-Suite verwendet wird – der Server wählt die stärkste Suite aus, die beide Seiten unterstützen.

In der Phase des Schlüsselaustauschs wird der Sitzungsschlüssel eingerichtet, ohne ihn zu übertragen. RSA-Schlüsselaustausch (TLS 1.2): Der Client verschlüsselt ein Pre-Master-Secret mit dem öffentlichen Schlüssel des Servers. Wird der private Schlüssel später kompromittiert, können alle vergangenen Sitzungen entschlüsselt werden. DHE (Diffie-Hellman Ephemeral): Erzeugt für jede Sitzung ein neues Schlüsselpaar und bietet Forward Secrecy, ist jedoch langsam. ECDHE (Elliptic Curve DHE): Erreicht dieselbe Forward Secrecy wie DHE, jedoch mit kleineren Schlüssellängen und besserer Leistung – dies ist sowohl in TLS 1.2 als auch in TLS 1.3 der bevorzugte Schlüsselaustausch. TLS 1.3 schreibt ECDHE oder DHE vor und entfernt den RSA-Schlüsselaustausch vollständig.

Perfect Forward Secrecy (PFS) stellt sicher, dass aufgezeichnete vergangene Sitzungen auch dann nicht entschlüsselt werden können, wenn der langfristige private Schlüssel des Servers später kompromittiert wird. PFS wird durch einen ephemeren Schlüsselaustausch (ECDHE oder DHE) erreicht, bei dem für jede Sitzung ein neues temporäres Schlüsselpaar erzeugt und nach der Verwendung verworfen wird. Ohne PFS (beim RSA-Schlüsselaustausch) kann ein Angreifer heute alle verschlüsselten TLS-Sitzungen aufzeichnen und sie später rückwirkend entschlüsseln, sobald er den privaten Schlüssel erlangt. Die Überwachungsstrategie der NSA „jetzt sammeln, später entschlüsseln“ geht davon aus, dass Ziele später auf stärkere Schlüssel umsteigen oder Quantencomputer die heutigen Schlüssel brechen werden.

Mehrere veraltete Chiffrierkomponenten sind kryptografisch gebrochen und müssen deaktiviert werden. NULL-Chiffren: überhaupt keine Verschlüsselung. Export-Chiffren (FREAK-Angriff): wurden absichtlich geschwächt, um die US-amerikanischen Exportbestimmungen der 1990er-Jahre einzuhalten. RC4: Stromchiffre mit statistischen Verzerrungen, die bei Angriffen ausgenutzt werden. DES und 3DES: Blockchiffren mit zu kleinen Blockgrößen (SWEET32-Angriff) oder unzureichenden Schlüssellängen. MD5 und SHA-1 für MACs: anfällig für Kollisionen. Anonyme Chiffren (aNULL): keine Serverauthentifizierung. Moderne TLS-Konfigurationen sollten als symmetrische Chiffren nur AES-GCM, ChaCha20-Poly1305, AES-CCM zulassen.

TLS 1.3 bietet gegenüber TLS 1.2 mehrere wesentliche Sicherheitsverbesserungen. Vorgeschriebene PFS: Der RSA-Schlüsselaustausch wurde entfernt – alle Sitzungen verwenden ECDHE oder DHE. Weniger Cipher-Suites: Es sind nur 5 AEAD-Cipher-Suites zulässig; die Aushandlung schwacher Chiffren ist nicht möglich. Schnellerer Handshake: 1 Round-Trip (1-RTT) statt 2-RTT bei TLS 1.2 sowie 0-RTT bei der Sitzungswiederaufnahme (wobei 0-RTT hinsichtlich Replay-Angriffen besondere Überlegungen erfordert). Verschlüsselter Handshake: Das Serverzertifikat wird während des Handshakes verschlüsselt, sodass passive Beobachter nicht erkennen können, welches Zertifikat und damit welche Website der Client aufruft.

Downgrade-Angriffe bringen einen TLS-Server und einen TLS-Client dazu, eine ältere, schwächere TLS-Version oder Cipher-Suite zu verwenden, obwohl beide eine höhere Version unterstützen. POODLE (Padding Oracle On Downgraded Legacy Encryption) nutzte aus, dass TLS-Implementierungen bei Verbindungsfehlern auf SSL 3.0 zurückfielen. Die Gegenmaßnahme bestand darin, SSL 3.0 zu deaktivieren. FREAK und Logjam nutzten Export-Chiffren aus. TLS_FALLBACK_SCSV ist eine Pseudo-Cipher-Suite, die Clients mitsenden, um zu signalisieren: „Dies ist nicht meine bevorzugte Version.“ Erkennt ein Server dieses Signal und unterstützt er eine höhere Version, bricht er den Downgrade-Versuch ab.

Die TLS-Serverauthentifizierung basiert darauf, dass der Client die Zertifikatskette des Servers bis zu einer vertrauenswürdigen Stammzertifizierungsstelle überprüft. Zu den wichtigen Prüfungen gehören: Gültigkeitsdauer (das Zertifikat muss innerhalb seines Gültigkeitszeitraums liegen), Widerruf (eine CRL- oder OCSP-Prüfung bestätigt, dass das Zertifikat nicht widerrufen wurde), Hostname (SAN oder CN muss mit der aufgerufenen Domain übereinstimmen) und Signaturkette (die Signaturen der Zwischen-CA und der Root-CA sind gültig). Certificate Transparency (CT) verlangt, dass alle öffentlich vertrauenswürdigen Zertifikate in unveränderlichen CT-Logs protokolliert werden. Dadurch lassen sich fehlerhaft ausgestellte Zertifikate innerhalb weniger Minuten nach ihrer Ausstellung erkennen.

Qualys SSL Labs (ssllabs.com/ssltest) ist das Standardwerkzeug zur Bewertung der TLS-Konfiguration eines Webservers. Es bewertet Server von A+ (hervorragend) bis F (kritische Probleme) anhand der unterstützten TLS-Versionen, der Stärke der Cipher-Suites, der Gültigkeit des Zertifikats, der HSTS-Konfiguration, der Unterstützung von Forward Secrecy und der Widerstandsfähigkeit gegen bekannte Angriffe. Für eine A+-Bewertung sind erforderlich: ausschließlich TLS 1.2 oder höher, ausschließlich ECDHE-Chiffren, ein gültiges Zertifikat und HSTS mit Preload. Organisationen sollten SSL-Labs-Tests nach der Erstkonfiguration und erneut nach jeder Änderung am TLS-Stack durchführen. Viele Compliance-Frameworks (PCI-DSS) verlangen regelmäßige Bewertungen der TLS-Konfiguration.

Abgelaufene TLS-Zertifikate verursachen Ausfälle und Warnungen, die das Vertrauen der Benutzer beeinträchtigen und von Angreifern ausgenutzt werden können. Das Lebenszyklusmanagement von Zertifikaten umfasst: die Erfassung aller Zertifikate in einem Zertifikatsinventar, die Konfiguration von Ablaufwarnungen mindestens 30 Tage vor dem Ablauf, die Automatisierung der Erneuerung mit dem ACME-Protokoll (Let's Encrypt, Certbot), die Verwendung kurzer Zertifikatslaufzeiten (90 Tage für öffentliche Zertifikate), um das Risikofenster bei einer Kompromittierung zu verkleinern, sowie den sorgfältigen Einsatz von Wildcard-Zertifikaten (*.example.com), da ein kompromittiertes Wildcard-Zertifikat alle Subdomains betrifft. Plattformen für die Zertifikatsverwaltung (Venafi, DigiCert CertCentral) automatisieren Erkennung und Lebenszyklusmanagement auch bei großen Zertifikatsbeständen.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie Folgendes gelernt: TLS 1.0/1.1 sind veraltet, TLS 1.2 ist der Mindeststandard und TLS 1.3 wird bevorzugt, da es PFS und verschlüsselte Handshakes zwingend vorschreibt; Cipher-Suites legen den Schlüsselaustausch (bevorzugt ECDHE), die symmetrische Verschlüsselung (AES-GCM, ChaCha20) und MAC-Algorithmen fest; und Perfect Forward Secrecy erfordert einen ephemeren Schlüsselaustausch (DHE/ECDHE), damit vergangene Sitzungen auch nach einer Kompromittierung des Schlüssels nicht entschlüsselt werden können. Als Nächstes befassen wir uns mit sicherem DNS: DNSSEC und DNS over HTTPS.