Sicherheit im Cryptoshop

Sicherung Ihrer persönlichen Daten

Am Ende des Bestellablaufs gelangen Sie in den gesicherten Bereich des Cryptoshops, wo Sie nun Ihre persönlichen Daten und Zahlungsdaten eingeben können. Sie erkennen den gesicherten Bereich, dies erkennen Sie an dem kleinen geschlossenen Schlosssymbol ihres Browsers, z. B. im Internet Explorer am unteren Fensterrand. Daran können Sie optisch sofort erkennen, dass es sich nun um eine verschlüsselte Verbindung handelt, Ihre eingebenen Daten beim Senden verschlüsselt werden und niemand Ihre Daten abhören kann.

Verschlüsselte Verbindung über SSL

Um im Internet eine vertrauliche Kommunikation, und damit den Austausch sensitiver Daten wie Kreditkartennummern gefahrlos zu ermöglichen, muss die Verbindung über welche die Kommunikation erfolgt, verschlüsselt werden. Da eine verschlüsselte Verbindung, ohne sicher zu sein, wer am anderen Ende der Leitung sitzt, praktisch wertlos ist, muss der Webserver authentifiziert werden. Browserverbindungen werden am einfachsten über SSL (https - HTTP over SSL) abgesichert, das Vertraulichkeit und Authentizität sicherstellt.

Bei SSL wird hybride Verschlüsselung eingesetzt, da verschlüsselte Verbindungen am effizientesten mit symmetrischen Verfahren (3DES, AES,..) zu realisieren sind und die Übertragung dieses geheimzuhaltenden Schlüssels aber mit asymmetrischen Verfahren (RSA, DH,..) am besten zu bewerkstelligen ist. Die Identität des Webservers dem der öffentliche Schlüssel gehört, wird durch eine Zertifizierungsstelle mittels Zertifikat bestätigt.

Wie eine SSL - Verbindung aufgebaut wird sehen sie auf obigem Bild schematisch dargestellt - im eigenem Fenster öffnen .

Die einzelnen Schritte

	Mit der Anforderung der Webseite wird vom Webserver das Zertifikat zu seinem öffentlichen Schlüssel angefordert
	Der Server übermittelt sein Zertifikat ebenfalls noch unverschlüsselt. Der Browser prüft das Zertifikat auf seine Gültigkeit beim Aussteller. (über Zertifikatskette und Widerrufslisten)
	Der Browser sendet daraufhin die Sitzungsgeheimnisse (Schlüssel) an den Server. Diese Nachricht ist mit dem öffentlichen Schlüssel des Servers verschlüsselt
	Der Server entschlüsselt diese Nachricht mit seinem privaten Schlüssel und kann so die richtigen Sitzungsgeheimnisse anwenden. Daraus kann der Browse rerkennen, dass der Server tatsächlich den privaten Schlüssel besitzt.

Browserkonfiguration

Ihr Browser sollte hohe Verschlüsselung (128 Bit) unterstützen und die neuesten Sicherheitsupdates installiert haben. Wie die Information über den Internet Explorer aussehen sollte sehen sie rechts.

In den erweiterten Internet-Optionen sollten sie folgende Punkte aktiviert haben,

- auf zurückgezogene Stammzertifikate prüfen
- auf zurückgezogene Serverzertifikate prüfen
- verschlüsselte Seiten nicht speichern
- SSL3.0 verwenden
- TLS 1.0 verwenden
- warnen wenn Formulardaten umgelenkt werden
- warnen bei ungültigen Site-Zertifikaten warnen.

während SSL2.0 verwenden deaktiviert werden sollte.

SSL - TLS

Kryptographie

Symmetrisch

Asymmetrisch

Zertifikate

Authentisierung mit PKI