Das Secure Sockets Layer (SSL)-Protokoll und dessen Nachfolger Transport Layer Security (TLS) spielen eine entscheidende Rolle bei der Absicherung von Websites im Internet. Sie verschlüsseln mit Hilfe eines SSL-/TLS-Zertifikats die zwischen Browsern und Webservern übertragenen Daten und sorgen somit dafür, dass diese nicht im Klartext übermittelt werden – selbst beim Wechsel zwischen verschlüsselten und unverschlüsselten Seiten. Durch diese Maßnahme wird nicht nur der Schutz von sensiblen Informationen gewährleistet, sondern auch verhindert, dass beispielsweise ein Session-Cookie über ungeschützte Verbindungen mitgesendet wird. TLS trägt somit wesentlich zur Authentifizierung des Server-Hostnamens bei und ist unverzichtbar für Websites, die mit vertraulichen Daten arbeiten.
Obwohl TLS als eines der sichersten Protokolle gilt, gibt es Angriffe wie das sogenannte SSL-Stripping, die darauf abzielen, die Verschlüsselung zu umgehen, bevor sie überhaupt greifen kann. Eine der ersten Demonstrationen solcher Angriffe wurde durch das Tool sslstrip von Moxie Marlinspike ermöglicht, das Datenübertragungen abfängt und manipuliert.
Was genau ist SSL-Stripping?
Jede Verbindung zwischen einem Benutzer (Browser) und einer Website (Server) basiert auf einem Anwendungsprotokoll – entweder HTTP oder HTTPS. Während HTTP eine unsichere Variante darstellt, bei der alle Daten im Klartext übermittelt werden, bietet HTTPS ein viel höheres Maß an Sicherheit. Der entscheidende Unterschied besteht darin, dass HTTPS alle übertragenen Informationen verschlüsselt, indem es SSL oder TLS verwendet.
SSL-Stripping beschreibt einen Angriff, bei dem die sichere HTTPS-Verbindung zwischen einem Webserver und einem Client (z. B. einem Browser) auf eine unsichere HTTP-Verbindung heruntergestuft wird, ohne dass der Benutzer dies bemerkt. Der Angreifer fungiert hierbei als Zwischenstation (Proxy) und kann so die übertragenen Daten in unverschlüsselter Form mitlesen.
2002 entwickelte Marlinspike mit sslsniff ein Tool, das den SSL-Datenverkehr manipulieren konnte. Hauptsächlich wollte der Entwickler damit auf eine Sicherheitslücke im Internet Explorer hinweisen, die solche Man-in-the-Middle-Angriffe ermöglichte und von Microsoft daraufhin geschlossen wurde. Im Jahre 2009 stellte Marlinspike das Proxy-Tool sslstrip vor, das gezielt Links zu HTTPS-geschützten Seiten abfängt und in unsichere HTTP-Links umwandelt. Dabei durchsucht das Tool die Webseiten, die von einem Webserver ausgegeben werden, nach eingebetteten Links und Weiterleitungen, wie z.B.
<a href="https://www.webwide.de/cms/redirect/278284?to=https%3A%2F%2Fbeispiel.de%2Flogin.php" target="_blank" rel="noopener nofollow">
und wandelt diesen in einen HTTP-Link um. Sobald der Benutzer auf den modifizierten Link klickt, sendet er seine Daten – vermeintlich sicher – unverschlüsselt, was es dem Angreifer ermöglicht, diese abzufangen und zu nutzen. Der Benutzer bekommt davon nichts mit, da SSL-Stripping keine ungültige Verbindung aufbaut und somit auch keine Warnmeldung im Browser angezeigt wird.
Sie sind auf der Suche nach einem passenden SSL-/TLS-Zertifikat für Ihre Webseite? Besuchen Sie unsere Produktseite, wo Sie eine Auswahl kostengünstiger Zertifikate unterschiedlicher Zertifizierungsstellen (EuropeanSSL, RapidSSL, Thawte, etc.) finden können. Sollten Sie sich unsicher sein, welches Zertifikat Sie benötigen, zögern Sie nicht uns zu kontaktieren. Unser Support hilft Ihnen gerne weiter.
Wie funktioniert ein Angriff mittels SSL-Strip?
Wenn ein Benutzer eine Website besucht, wird in den meisten Fällen zunächst eine Verbindung zur unsicheren HTTP-Version der Seite hergestellt, bevor der Browser auf die sichere HTTPS-Version wechselt. Hierbei kommt das sogenannte SSL- oder TLS-Protokoll zum Einsatz, das dafür sorgt, dass die Daten verschlüsselt und die Identität des Servers verifiziert werden. SSL-Stripping-Angriffe nutzen diesen Umstand, um die Umleitung zur verschlüsselten HTTPS-Seite zu unterbinden. Der Angreifer "stript" die SSL/TLS-Verschlüsselung, indem er den Benutzer dazu bringt, weiterhin unverschlüsselt über HTTP zu kommunizieren.
Der Angreifer greift dabei in den Kommunikationsprozess zwischen dem Browser des Nutzers und der Website ein und verhindert, dass der Nutzer jemals auf die verschlüsselte Version der Seite weitergeleitet wird. Während der Angreifer eine HTTPS-Verbindung zur Website herstellt, bleibt die Verbindung des Benutzers über HTTP bestehen, was bedeutet, dass die Daten im Klartext übertragen werden. Diese Art von Man-in-the-Middle-Angriff ermöglicht es dem Angreifer, die übertragenen Daten auszulesen oder sogar zu manipulieren, ohne dass der Benutzer dies bemerkt.
Um einen SSL-Stripping-Angriff zu ermöglichen, müssen Angreifer in der Lage sein, den Datenverkehr des Benutzers abzufangen. Dies gelingt ihnen häufig durch folgende Techniken:
- Manipulation des Proxy-Servers
Angreifer können den Browser eines Benutzers so manipulieren, dass alle Webanfragen über einen Proxy-Server des Angreifers geleitet werden. Auf diese Weise kann der Angreifer jede Anfrage überwachen und entscheiden, ob und wie er den Datenverkehr verändert. Dies erfolgt meist über Malware, die zuvor auf dem Gerät des Benutzers installiert wurde. - ARP-Spoofing
Hierbei handelt es sich um eine Technik, bei der der Angreifer gefälschte ARP-Nachrichten (Address Resolution Protocol) an ein lokales Netzwerk sendet, um sich als legitimer Teilnehmer des Netzwerks auszugeben. Sobald die Verbindung hergestellt ist, kann der Angreifer den gesamten Netzwerkverkehr abfangen und manipulieren, einschließlich der SSL-Verbindungen. - Gefälschtes öffentliches WLAN (Hotspot)
Eine besonders häufige Methode besteht darin, ein gefälschtes öffentliches WLAN-Netzwerk zu erstellen. Sobald Benutzer sich mit diesem Netzwerk verbinden, hat der Angreifer vollständigen Zugriff auf die unverschlüsselte Kommunikation innerhalb dieses Netzwerks und kann SSL-Stripping-Angriffe durchführen, ohne dass die Nutzer etwas davon mitbekommen.
Beispiel 1: Vertrauliche Kundendaten preisgeben
Maria, die im Kundenservice arbeitet, nutzt regelmäßig eine Website, um Notizen zu Kundengesprächen zu speichern. Was sie jedoch nicht bemerkt, ist, dass sie bei einem Besuch auf die unverschlüsselte HTTP-Version der Website geleitet wurde, während ein Angreifer ihre Verbindung manipuliert. Ohne Verschlüsselung kann der Angreifer sämtliche Daten abfangen, die Maria eingibt.
Im Laufe ihres Arbeitstags trägt Maria vertrauliche Informationen ihrer Kunden ein, darunter vollständige Namen, Adressen und Kontonummern. Da die Verbindung nicht abgesichert ist, kann der Angreifer diese sensiblen Informationen direkt einsehen und möglicherweise für betrügerische Zwecke nutzen.
Beispiel 2: Kreditkartendaten gestohlen
Matthias ist in einem Café und möchte eine Bestellung auf einer bekannten Shopping-Website aufgeben. Er verbindet sich mit dem öffentlichen WLAN des Cafés und beginnt, verschiedene Artikel auf der Website zu durchstöbern. Er bemerkt, dass die Verbindung nicht sicher ist (es fehlt das Vorhängeschloss-Symbol in der Adressleiste), denkt sich aber nichts dabei, weil er nur Produkte anschaut.
Als er schließlich seine gewünschten Artikel in den Warenkorb legt und seine Kreditkartendaten sowie seine Rechnungsadresse eingibt, hat er das unsichere Symbol in der URL bereits vergessen. Später stellt sich heraus, dass ein Angreifer die SSL-Verbindung blockiert und so alle von Bob eingegebenen Informationen abgefangen hat. Kurze Zeit später entdeckt Bob mehrere betrügerische Abbuchungen in Höhe von 50.000 Dollar, die mit seinen gestohlenen Kreditkartendaten durchgeführt wurden.
(Wie) Kann man SSL-Stripping-Angriffe erkennen?
Für den Benutzer ist es extrem schwierig, einen SSL-Strip-Angriff zu erkennen. Der Browser zeigt oft keine Hinweise auf unsichere Verbindungen an. Aber auch für den Webserver ist der Angriff unsichtbar, da er glaubt, eine sichere Verbindung zum Benutzer zu verwenden. Aus diesem Grund zweifelt keiner der beiden Parteien die Integrität der übertragenen Daten an.
Nur in ganz wenigen Fällen können solche Angriffe tatsächlich vom Benutzer erkannt werden, z. B. wenn die Webseite ein auffallend fehlerhaftes Layout anzeigt oder massive Verzögerungen beim Aufruf der Webseite auftreten. Moderne Browser zeigen zwar anhand eines Sicherheitsschlosses in der Adressleiste an, ob eine Seite per SSL/TLS verschlüsselt ist, aber ein Angreifer kann dieses Symbol über Favicons leicht nachahmen, um den Nutzer in falscher Sicherheit zu wiegen.
Wie kann man sich vor SSL-Stripping schützen?
SSL-Stripping-Angriffe sind eine ernsthafte Bedrohung für die Sicherheit von Online-Verbindungen, da diese nur schwierig erkannt werden können. Eigentlich sollten SSL-/TLS-Zertifikate dem Benutzer Sicherheit geben und die Vertrauenswürdigkeit einer Webseite verifizieren. Da diese Angriffe jedoch auf der Umgehung der Verschlüsselung basieren, müssen Nutzer sicher sein, dass sie den Aufbau einer verschlüsselten HTTPS-Verbindung erzwingen. Dies können Benutzer folgendermaßen durchfürhren:
- Manuelle Eingabe von HTTPS-URLs
Eine der sichersten, aber auch umständlichsten Methoden ist, immer die vollständige HTTPS-Adresse von Hand einzugeben. - Browser-Erweiterungen nutzen
Tools wie HTTPS Everywhere zwingen den Browser dazu, wann immer möglich eine HTTPS-Verbindung herzustellen. Diese steht Nutzern für Firefox, Firefox for Android, Chrome und Opera zur Verfügung - Sichere URLs speichern
Wenn Sie regelmäßig sichere Seiten besuchen (z. B. beim Online-Banking), speichern Sie die HTTPS-Version als Lesezeichen. Wichtig ist, dass Sie in einem sicheren Netzwerk arbeiten, wenn Sie das Lesezeichen speichern, da ansonsten die manipulierte URL gespeichert werden könnte.
Aber auch Unternehmen sollten Maßnahmen ergreifen, um SSL-Stripping zu verhindern:
- SSL flächendeckend auf der gesamten Website einsetzen
Oft wird SSL nur auf Seiten aktiviert, die sensible Daten wie Passwörter oder Zahlungsinformationen erfassen. Ein besserer Ansatz ist jedoch, SSL auf jeder einzelnen Seite ihrer Webseite durchgängig zu aktivieren. Dies stellt sicher, dass keine Schwachstellen durch den Wechsel von unsicheren HTTP- zu sicheren HTTPS-Seiten entstehen. Wenn SSL durchgehend aktiviert ist, erkennen moderne Browser mögliche Probleme und warnen die Nutzer, falls die SSL-Zertifikate nicht verifiziert werden können. Dadurch wird verhindert, dass eine unsichere Verbindung zustande kommt, die von Angreifern ausgenutzt werden könnte. - Einführung der HSTS-Richtlinie (HTTP Strict Transport Security)
Eine der effektivsten Maßnahmen, sich gegen SSL-Stripping zu schützen, ist die Implementierung des IETF-Standards HSTS. Diese Richtlinie stellt sicher, dass Browser nur HTTPS-Verbindungen akzeptieren und nicht zulassen, dass ungesicherte HTTP-Seiten geöffnet werden. Sie erzwingt zudem die automatische Weiterleitung von HTTP auf HTTPS, wo immer es möglich ist. Dies schützt Nutzer, die versehentlich eine unsichere Verbindung aufrufen, und stellt sicher, dass ausschließlich verschlüsselte Verbindungen genutzt werden. Im folgenden Abschnitt gehen wir näher auf HSTS ein. - Sichere Cookies aktivieren
Cookies speichern wichtige Sitzungsdaten, die von Websites genutzt werden, um Nutzer zu identifizieren. Um diese Daten zu schützen, sollten Unternehmen auf sichere Cookies setzen. Sichere Cookies werden nur über verschlüsselte HTTPS-Verbindungen übertragen und sind damit nicht anfällig für Angriffe über ungesicherte HTTP-Verbindungen. Durch die Aktivierung dieser Funktion (Attribut „Secure“) stellen Unternehmen sicher, dass sensible Informationen, die in Cookies gespeichert sind, nicht abgefangen werden können. - Mitarbeiter für Sicherheitsrisiken sensibilisieren
Neben technischen Schutzmaßnahmen spielt auch die Schulung der Mitarbeiter eine wichtige Rolle. Eine zentrale Maßnahme ist es, die Nutzer darauf hinzuweisen, öffentliche WLAN-Netzwerke zu meiden und stattdessen sichere Verbindungen wie ein VPN zu nutzen. Zudem sollten sie in der Lage sein, potenzielle Sicherheitswarnzeichen zu erkennen, wie etwa fehlende SSL-Zertifikate oder unsichere URL-Verbindungen (HTTP statt HTTPS).
Wie kann HSTS als Schutzmaßnahme gegen SSL-Stripping helfen?
Ein effektiver Schutz gegen SSL-Stripping bietet der "HTTP Strict Transport Security (HSTS)"-Standard. Dieser teilt Browsern mit, dass eine Website ausschließlich über HTTPS erreichbar sein soll und zwar für einen definierten Zeitraum. . Um HSTS zu verwenden, verwendet der Server im Header einer HTTP-Antwort das Feld Strict-Transport-Security. Zusätzlich kann über die Direktive max-age eine Gültigkeitsdauer der Anweisung in Sekunden vorgegeben werden. Bei einer Gültigkeitsdauer von einem Jahr sieht der Eintrag dann so aus:
Strict-Transport-Security: max-age=31536000
Wird in diesem Zeitraum eine Verbindung über HTTP versucht, leitet der Browser diese automatisch auf HTTPS um. Des Weiteren kann man mit dem Parameter includeSubDomains alle Subdomains einer Webseite in HSTS einbinden.
HSTS bietet einen soliden Schutz vor SSL-Stripping sowie anderen vergleichbaren Angriffen und stellt somit eine dauerhafte Lösung dar. Jedoch hat der Standard auch eine Schwäche: Die erste Verbindung zu einer Seite ist noch angreifbar, da diese weiterhin über das unsichere HTTP-Protokoll aufgebaut wird. Sobald jedoch eine HSTS-Richtlinie festgelegt wurde, ist der Nutzer bei allen zukünftigen Verbindungen geschützt.
Aber auch hierfür gibt es eine Lösung. Dank der sogenannten „HSTS-Preload-Listen“ in Browsern wie z.B. Google Chrome, können Betreiber ihre Websites vorab registrieren, sodass sie ausschließlich per HTTPS erreichbar sind.
Die Eintragung Ihrer Webseite auf der Preload-Liste können Sie über https://hstspreload.org/ durchführen. Hierfür muss Ihre Webseite folgende Anforderungen erfüllen:
- Sie verfügen über ein gültiges HTTPS-(SSL-)Zertifikat.
- Sie leiten den gesamten HTTP-Verkehr auf HTTPS um.
- Alle Subdomains werden mit HTTPS übertragen.
- Der Strict Transport Security Header hat ein maximales Alter von mindestens 1 Jahr (31536000 Sekunden).
Fazit
SSL-Stripping ist eine ernsthafte Bedrohung, die selbst bei gut gesicherten Websites zu Datenverlust führen kann. Durch gezielte Maßnahmen wie die Nutzung von HSTS, die Aktivierung von HTTPS auf allen Seiten und das bewusste Setzen sicherer Verbindungen, können sowohl Nutzer als auch Website-Betreiber das Risiko minimieren.
FAQ - Häufig gestellte Fragen
Was ist SSL-Stripping?
SSL-Stripping ist eine Art Man-in-the-Middle-Angriff, bei dem ein Angreifer eine verschlüsselte HTTPS-Verbindung in eine unsichere HTTP-Verbindung umwandelt, um sensible Daten abzufangen.
Wie funktioniert SSL-Stripping?
Ein Hacker schaltet sich zwischen einen Nutzer und eine HTTPS-Website, stellt dem Nutzer eine HTTP-Version der Seite bereit und verschlüsselt die Verbindung zur tatsächlichen Website. So kann der Hacker den gesamten unverschlüsselten Datenverkehr abfangen und manipulieren.
Was ist der Unterschied zwischen HTTP und HTTPS?
HTTP (Hypertext Transfer Protocol) überträgt Daten im Klartext, während HTTPS (Hypertext Transfer Protocol Secure) eine verschlüsselte Verbindung mittels SSL/TLS verwendet, um die Daten sicher zu übertragen.
Was bedeutet "Man-in-the-Middle"?
Ein "Man-in-the-Middle"-Angriff tritt auf, wenn ein Angreifer sich heimlich zwischen zwei kommunizierende Parteien schaltet und deren Daten abfängt oder manipuliert.
Warum ist SSL-Stripping gefährlich?
SSL-Stripping macht verschlüsselte Verbindungen unsicher, sodass Angreifer sensible Informationen wie Passwörter, Kreditkartendaten oder persönliche Nachrichten abgreifen können.
Wie erkenne ich einen SSL-Stripping-Angriff?
Es gibt keine sofort sichtbaren Anzeichen, aber wenn eine Website, die normalerweise HTTPS verwendet, plötzlich nur HTTP anzeigt oder das Vorhängeschloss-Symbol in der Adressleiste fehlt, könnte dies auf einen Angriff hindeuten.
Welche Daten sind bei einem SSL-Stripping-Angriff gefährdet?
Alle Daten, die über eine ungesicherte HTTP-Verbindung gesendet werden, wie Passwörter, Kontonummern, Kreditkartendaten, persönliche Nachrichten und vieles mehr, können abgefangen werden.
Wie kann ich mich vor SSL-Stripping schützen?
Sie können sich schützen, indem Sie auf die Nutzung sicherer HTTPS-Verbindungen achten, VPNs verwenden, HSTS aktivieren und öffentliche WLAN-Netzwerke meiden.
Was ist HSTS (HTTP Strict Transport Security)?
HSTS ist eine Sicherheitsrichtlinie, die Browser zwingt, ausschließlich HTTPS-Verbindungen zu akzeptieren und HTTP-Verbindungen abzulehnen. Dadurch wird die Gefahr von SSL-Stripping-Angriffen stark reduziert.
Wie verhindern HSTS und HTTPS SSL-Stripping-Angriffe?
HSTS verhindert, dass Nutzer auf unsichere HTTP-Versionen von Websites zugreifen, während HTTPS sicherstellt, dass die Kommunikation verschlüsselt ist, sodass Daten nicht im Klartext übertragen werden.
Können auch verschlüsselte Websites von SSL-Stripping betroffen sein?
Ja, wenn der Angreifer die verschlüsselte Verbindung in eine unverschlüsselte HTTP-Verbindung umwandelt, bevor der Nutzer die HTTPS-Version erreicht, ist der Angriff möglich.
Wie kann ich verhindern, dass ich Opfer eines SSL-Stripping-Angriffs in einem öffentlichen WLAN werde?
Verwenden Sie ein VPN, um Ihre Verbindung zu verschlüsseln, und stellen Sie sicher, dass Sie nur verschlüsselte HTTPS-Websites besuchen.
Was ist ein sicheres Cookie und wie hilft es gegen SSL-Stripping?
Ein sicheres Cookie wird nur über HTTPS-Verbindungen gesendet und stellt sicher, dass sensible Sitzungsdaten nicht über unsichere HTTP-Verbindungen übertragen werden.
Was sollte ich tun, wenn ich vermute, dass ich Opfer eines SSL-Stripping-Angriffs bin?
Trennen Sie sofort Ihre Verbindung, ändern Sie alle Passwörter, die möglicherweise kompromittiert wurden, und wenden Sie sich an die betroffenen Dienste, um Verdachtsfälle zu melden.