Wir nutzen mehr und mehr das Internet für Alltägliches. Gerade wenn es zu online Einkäufen, Überweisungen oder Buchungen kommt — also bei der Weitergabe von vertraulichen Informationen — möchten wir auf der sicheren Seite sein. Datensicherheit wird also wichtiger und kann sogar ein Kauf-/Nutzungsargument für Ihre Kunden sein. Auch für FLYACTS spielt Datensicherheit bei der Entwicklung von Apps für unsere Kunden eine wichtige Rolle. Dafür nutzen wir ein Verfahren namens SSL.
Dieser Blogartikel erklärt, worum es sich bei der SSL-Verschlüsselung handelt und zeigt zwei Möglichkeiten auf, Projekte durch SSL abzusichern.
Inhalt
- Was ist SSL?
- Wie funktioniert SSL?
- Warum SSL?
- Wie sicher ist SSL?
- Unterschiedliche Zertifizierungsmöglichkeiten
- Anleitung Zertifizierung
Was ist SSL?
Secure Sockets Layer (SSL), ist ein hybrides Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet. Mittlerweile wird es unter dem neuen Namen TLS (Transport Layer Security, dt: Transportschichtsicherheit) weiterentwickelt und standardisiert. Da es weitläufiger unter dem Namen SSL bekannt ist, werden wir mit diesem weiterarbeiten.
Das SSL-Verschlüsselungsverfahren wird genutzt, um die Daten, die im Internet hin und her gesendet werden, so zu verschlüsseln, dass Personen, die die Daten abfangen mit ihnen nichts anfangen können.
Nur mit sehr hohem Aufwand ist es überhaupt möglich die Daten zu entschlüsseln. Daher nutzen vor allem Banken etc. dieses Verfahren, um sensible Daten zu schützen.
Auch die Manipulation des Datenverkehrs kann durch die Verschlüsselung unterbunden werden.
In einem Browser wird eine SSL-Verbindung meist über ein grünes Schloss im Adressfenster angezeigt (siehe Beispiele unten). Wenn wir für Sie eine Mobile App machen, wird der SSL-Status nicht sichtbar.
Diese kommuniziert im Hintergrund per SSL mit der API/dem Backend. Trotzdem ist die Kommunikation voll verschlüsselt.
SSL-Anzeige bei Firefox
SSL-Anzeige bei Chrome
Wie funktioniert SSL?
Hier geben wir Ihnen einen kleinen, sehr vereinfachten Einblick in die Verschlüsselungstechnik (mehr auf Wikipedia):
So funktioniert die SSL-Verschlüsselung (vereinfacht)
Warum SSL?
SSL bietet eine relativ einfache Möglichkeit die Daten zu schützen. Zudem ist es ein Standard im Internet. Andere Verschlüsselungsverfahren sind aufwendiger einzurichten und bedürfen unter Umständen sogar Zusatzinstallationen von Programmen oder den Austausch von digitalen Schlüsseln.
Zusätzlich werden bis Ende 2016 auf iOS nur noch SSL zertifizierte Webseiten und Apps zugelassen. Dies kann auch auf anderen Plattformen geschehen. Daher ist es wichtig jetzt Entscheidungen zu treffen.
Wie sicher ist SSL?
Wie bei fast allem im Netz, ist auch SSL nicht zu 100% sicher. Ohne SSL werden die Daten zwischen dem Anwender (Client) und Backend (Server) unverschlüsselt hin und her gesendet. Sollte es nun jemand schaffen, sich Zugang zu den Datenpaketen zu verschaffen, die hin und her gesendet werden, kann er diese mitlesen und auch manipulieren. Das „Mithören“ könnte zum Beispiel geschehen, indem man ein öffentliches WLAN in einem Café benutzt.
Bei einer SSL-Verbindung werden die Daten verschlüsselt übermittelt. Der “Mithörer” kann mit den Daten erst einmal nichts anfangen. Er müsste sehr, sehr viele Daten sammeln und dann versuchen damit den Verschlüsselungs-Algorithmus zu knacken. Der Aufwand dazu ist so hoch, dass SSL als relativ sicher gilt.
Unterschiedliche Zertifizierungsmöglichkeiten
Es gibt zwei unterschiedliche Zertifikate, die wir Ihnen anbieten können:
- Freies SSL-Zertifikat – Let’s Encrypt
- SSL-Zertifikat – Thawte
Freies SSL-Zertifikat
| Pro | Contra |
|---|---|
| Kostenlos | Muss alle 3 Monate erneuert werden (dies kann von uns automatisiert werden) |
| Gleiche Sicherung wie kostenpflichtiges Zertifikat | In den Details des Zertifikats kann die Organisation/Firma nicht angezeigt werden |
Beispiel für ein “freies” SSL-Zertifikat
Thawte SSL-Zertifikat
| Pro | Contra |
|---|---|
| Je nach Vertrag 1 bis 3 Jahre gültig | Mit Kosten Verbunden (ca. 100 EUR pro Domain/Jahr) |
| Die Organisation wird angegeben, das bedeutet mehr Vertrauen für den Nutzer (siehe Beispiel-Bild) |
Beispiel Thawte-SSL-Zertifikat
Anleitung
Wir werden Ihnen die Implementation von SSL-Verbindungen mit anbieten, andernfalls fragen Sie gerne bei uns nach.
Haben Sie die Umsetzung mit gebucht, so werden wir die App entsprechend programmieren. Auch in den Releases, die Sie von uns erhalten, wird dies schon implementiert sein, da wir selber mit dem freien Zertifikat testen.
Das freie Zertifikat legen wir Ihnen ohne Ihr “Zutun” an.
Für das kostenpflichtige Zertifikat müssen Sie folgende Schritte beachten:
(Dies gilt nur, wenn wir die Serveradministration für Ihr Projekt übernehmen)
- Sie müssen bei dem “Bezahl-Zertifikat” genau wissen, für welche Domains, bzw. Sub-Domains Sie das Zertifikat einsetzen wollen.
- Wenn dies feststeht, generieren wir eine so genannte CSR-Datei und einen privaten Schlüssel. In der CSR-Datei sind die Domains integriert.
- Die CSR-Datei liefern wir Ihnen und Sie bestellen mit der CSR-Datei das Zertifikat bei einem entsprechenden Anbieter.
- Daraufhin bekommt Sie vom Zertifikats-Anbieter eine Zertifikats-Datei, die Sie uns geben und wir auf Ihrem Server installieren.
- Nun ist das Zertifikat für Ihre Anwendung aktiviert, solange das Zertifikat gültig ist.
Wir empfehlen zur Zeit den Anbieter “namecheap.de” für die Zertifizierung. Aktuelle Kosten und Informationen finden Sie auf der Anbieterwebseite, mit dem Sie auch die komplette Zahlung etc. abwickeln.
(Wir bauen den Zertifikatsschlüssel nur ein, die Zertifizierung ist nicht Teil des Vertragsverhältnisses zwischen Ihnen und FLYACTS.)
Sind diese Schritte vollzogen und Ihr Projekt auf dem Server freigegeben, wird Ihre App mit dem von Ihnen erstellten Zertifikat ausgeführt und hat eine erhöhte Datenkommunikationssicherheit.
Wenn Sie weitere Fragen haben melden Sie sich gerne bei uns.
