Liebe Webmaster, habt ihr schon auf HTTPS umgestellt?

[dj74]

Zertifikate kriegt man mittlerweile kostenlos u.a. bei "Let's encrypt".

Teuere Zertifikate beinhalten eine Versicherung und ggf eine Identitätsprüfung. Im Moment sind Zertifikate noch wie SMS früher viel zu teuer, da verdient jeder Depp dran, sprich die ausgebende Instanz, die validierende Instanz und der Webhost der sie den Kunden verkauft.

Aber der Markt für Zertis ist im Fluss.

Billige Zertifikate sind zwar wünschenswert für eine weite Verbreitung, aber zerstören den Wert der besseren Zertifikate.

Sinn der Sache war ja, dass man genau prüfen kann, mit WEM man da kommuniziert, nicht unbedingt, ob die Übertragung sicher ist. Dann hätte man auch einfach die Browser so einstellen können, dass sie jedes Zertifikat akzeptieren. Technisch gibt es bei der Qulität der Verschlüsselung keine nenneswerten unterschiede zwischen einem Gratiszertifikat und einem sackteuren TrueBusinessValidation Zertifikat.
Der Unterschied liegt in der Vertrauensstufe. Bei den teuren Zertifikaten (die auch die Adresszeile des Browsers so schön grün werden lassen) wird der Domaininhaber sehr gründlich überprüft, mit Handelsregisterauszug, Telefonat bis zu Notarbeglaubigung. Das macht so ein Zertifikat so teuer.

Die billigen Zertifikate prüfen meist gar nicht, wer da hinter der Domain steht und schicken maximal eine Verifikations-E-Mail an den Admin-C der Domain.
Durch die Schwemme an Billigzertifikaten wird meines Erachtens die Vertrauenshaltung in SSL-Zertifikate unterwandert.

Dann kann auch jede Phisingseite mit einem SSL-Zertifikat ausgestattet werden und der dumme Anwender hat ja gelernt, dass alles supersicher ist, wenn im Browser das Schlosssymbol in der Adresszeile geschlossen ist und gibt seine Daten dann halt über eine verschlüsselte Leitung an den Angreifer weiter...

Auch protokolltechnisch ist SSL im Nachteil, weil der Verbindungsaufbau deutlich mehr Overhead hat. Das merkt man am Rechner nicht unbedingt, aber mobil bei lansamer Verbindung ist das nicht ganz unerheblich. Um Bilder oder CSS-Dateine auszuliefern braucht es in der Regel keine SSL-Verschlüsselung, da ist auch der Durchsatz auf dem Server deutlich geringer...

Aber insgesamt begrüße ich eine Verschlüsselung aller Seiten durchaus, nur sollte man nicht einfach an ein Allheilmittel für alle Web-Probleme glauben.