SSL-Stripping: Wie Hacker die HTTPS-Sicherheit umgehen

Die Sicherheit im Internet ist heutzutage von entscheidender Bedeutung, und die HTTPS-Verschlüsselung spielt eine wichtige Rolle beim Schutz unserer sensiblen Daten. Leider gibt es Methoden, mit denen dieser Schutz umgangen werden kann. Eine davon ist SSL-Stripping, eine heimtückische Angriffsart, die versucht, unsere Verbindungen von ihrer Sicherheitsschicht zu befreien und uns zu zwingen, unverschlüsselt zu kommunizieren.

Was genau bedeutet das, wie funktioniert dieser Angriff und wie können wir uns dagegen schützen?

Was ist SSL-Stripping und warum ist es gefährlich?

SSL-Stripping ist eine Technik, die es einem Angreifer ermöglicht , die HTTPS-Sicherheit aus der Kommunikation zwischen einem Benutzer und einer Website zu entfernen.

Mit anderen Worten: Wenn Sie eine Website besuchen, die normalerweise über HTTPS kommuniziert, kann ein Angreifer dafür sorgen, dass Ihre Verbindung wieder auf unverschlüsseltes HTTP umgestellt wird.

Das heißt:

• Ihre Kennwörter, Zahlungsdaten oder persönlichen Informationen können abgefangen werden.
• Ein Angreifer kann den Inhalt der Websites, die Sie sehen, manipulieren.
• Sie haben keine Ahnung, dass Sie Opfer eines Angriffs sind, weil alles normal aussieht.

Dieser Angriff ist äußerst gefährlich, insbesondere in öffentlichen WiFi-Netzwerken, wo ein Angreifer leicht zwischen Sie und die gewünschte Website gelangen kann.

Wie kam es zum SSL-Stripping?

Die erste Warnung vor diesem Angriff kam im Jahr 2009, als der Sicherheitsexperte Moxie Marlinspike diese Methode auf der Black-Hat-Konferenz vorstellte. Marlinspike demonstrierte, dass er Benutzer dazu bringen kann, unsicheres HTTP zu verwenden, ohne dass sie es merken.

Das Grundproblem besteht darin, dass die erste Verbindung zur Website oft über unverschlüsseltes HTTP erfolgt, bevor sie auf sicheres HTTPS umgeleitet wird.

Ein Angreifer wird diesen Moment ausnutzen, um sicherzustellen, dass die Umleitung nicht stattfindet, so dass Sie die ganze Zeit unverschlüsselt kommunizieren.

Wie funktioniert das SSL-Stripping?

Stellen wir uns ein praktisches Szenario vor:

1. Sie geben die Adresse einer Website in Ihren Browser ein – zum Beispiel Web123.com.
2. Ihr Browser wird zunächst versuchen, eine Verbindung über HTTP (unverschlüsselte Verbindung) herzustellen.
3. Normalerweise würde der Server eine Umleitung zu HTTPS senden, aber der Angreifer fängt Ihre Anfrage ab.
4. Er stellt an Ihrer Stelleeine verschlüsselte Verbindung zum Serverher, aber zwischen Ihnen und dem Angreifer besteht weiterhin eine unsichere HTTP-Verbindung.
5. Ein Angreifer kann Ihre Kommunikation abhören und alle von Ihnen gesendeten Daten abfangen – Passwörter, E-Mails, Zahlungsdaten usw.

Dieser Vorgang ist für den durchschnittlichen Benutzer völlig unsichtbar. Die Seite sieht genauso aus wie immer, nur HTTPS verschwindet aus der Adressleiste.

Welche Werkzeuge verwenden die Angreifer?

Es gibt spezielle Software-Tools, die es Angreifern ermöglichen, SSL-Stripping durchzuführen. Das bekannteste ist sslstrip, das von Marlinspike entwickelt wurde. Andere Methoden umfassen:

• ARP-Spoofing – ermöglicht es einem Angreifer, den Netzwerkverkehr über sein Gerät umzuleiten.
• DNS-Manipulation – ein Angreifer ändert den Pfad, über den Anfragen weitergeleitet werden.
• Gefälschte WiFi-Netzwerke – ein Angreifer erstellt einen gefälschten WiFi-Hotspot, der wie ein vertrauenswürdiges Netzwerk aussieht (z. B. „Hotel WiFi“).

Wie kann man sich gegen SSL-Stripping schützen?

SSL-Stripping ist gefährlich, aber es gibt Möglichkeiten, sich dagegen zu schützen:

1. Verwenden Sie HSTS (HTTP Strict Transport Security)

Websites können HSTS implementieren, was bedeutet, dass Ihr Browser sich daran erinnert, die Seite immer über HTTPS zu öffnen. Selbst wenn ein Angreifer Ihre erste Anfrage abfängt, sorgt HSTS dafür, dass keine unsicheren Verbindungen hergestellt werden.

2. Überprüfen Sie immer HTTPS in der Adressleiste

Wenn die Website kein HTTPS enthält und Sie wissen, dass sie sicher sein sollte, kann dies verdächtig sein.

3. Verwenden Sie Erweiterungen wie HTTPS Everywhere

Das ehemals populäre HTTPS Everywhere-Tool der Electronic Frontier Foundation (EFF) zwingt Browser dazu, wo immer möglich HTTPS zu verwenden.

4. Vermeiden Sie öffentliche WiFi-Netzwerke

Wenn Sie ein öffentliches WiFi-Netzwerk nutzen müssen, tätigen Sie niemals Online-Zahlungen oder geben Sie keine Passwörter ein, ohne dass ein VPN aktiviert ist!

5. Verwenden Sie immer ein VPN gegen SSL-Stripping

Ein VPN (virtuelles privates Netzwerk) verschlüsselt Ihren gesamten Internetverkehr und stellt sicher, dass ein Angreifer keine Ihrer Daten einsehen oder einen Man-in-the-Middle-Angriff durchführen kann.

6. Halten Sie Ihre Software und Ihren Browser auf dem neuesten Stand

Die Browserhersteller verbessern ständig ihre Sicherheitsmaßnahmen. Wenn Sie eine veraltete Software verwenden, sind Sie anfälliger.

Die Zukunft der Sicherheit gegen SSL-Stripping

Die Internetsicherheit entwickelt sich ständig weiter, und neue Versionen von Protokollen wie TLS 1.3 bieten einen besseren Schutz gegen SSL-Stripping-Angriffe. Webentwickler und Browserbetreiber implementieren immer bessere Sicherheitsmechanismen, um zu verhindern, dass Benutzer unerwünschte Verbindungen über HTTP herstellen.

So haben beispielsweise Google Chrome und Mozilla Firefox bereits damit begonnen, unsichere HTTP-Seiten zu blockieren und die Nutzer vor deren Nutzung zu warnen.

Schlussfolgerung

SSL-Stripping ist gefährlich, aber wenn Sie wissen, wie es funktioniert und wie Sie es verhindern können, können Sie Ihr Risiko, ein Opfer zu werden, erheblich verringern.

Das heutige Internet ist voller Bedrohungen, aber mit den richtigen Gewohnheiten – wie der Überprüfung von HTTPS, der Verwendung eines VPN oder dem Meiden öffentlicher WiFi-Netzwerke – können Sie sich effektiv schützen.

Egal, ob Sie ein regelmäßiger Nutzer sind oder eine Website verwalten, Sicherheit sollte immer oberste Priorität haben.