Google Chrome zeigt http-Seiten ‘demnächst’ als unsicher an

Google will das Web auf https-Übertragung zwingen, koste es, was es wolle. Demnächst zeigt der Google Chrome-Browser Webseiten, die per http ausgeliefert werden, als unsicher an. Hier ein paar Infos und Gedanken zum Thema.

Zum Hintergrund: http oder https

Webseiten können vom Server unverschlüsselt per http oder verschlüsselt per https ausgeliefert werden. Das Hypertext Transfer Protocol (http) unterstützt jeder Webserver. Um Webseiten per https auszuliefern, sind Änderungen am Webserver erforderlich. Unter anderem muss ein Zertifikat vorhanden sein, welches die Identität des Webservers überprüfbar macht. Das bedeutet für den Website-Betreiber zusätzliche Kosten und zusätzlichen Aufwand. Läuft das Zertifikat aus, werden Zugriffe auf die Inhalte als "unsicher" gesperrt.

Ursprünglich war https dafür gedacht, sensitive Daten während der Übertragung zwischen Server und Client zu verschlüsseln, so dass diese nicht gelesen und/oder verfälscht werden können. Dadurch fällt auch die Umleitung auf "gefakte" Webseiten beim Phishing auf. Aber das kann man auch erkennen, wenn man sich die URLs der abgerufenen Seiten anschaut. Zwischenzeitlich ist davon auszugehen, dass diese https-verschlüsselten Daten von interessierten Stellen durchaus mitgelesen und sogar verändert werden können. Aber das nur am Rande.

Das Vorhaben von Google

Schon seit längerem versucht Google die Übertragung von Webseiten vom als "unsicher" eingestuften http auf https zu drücken. Webseiten, die per https ausgeliefert werden, stuft Google im Ranking hoch.

Nun gibt es den nächsten Schritt: Ab Januar 2016 wird der Google Chrome-Browser in der Version 56 Webseiten, die http zur Übertragung verwenden, aber Passwörter zur Anmeldung verwenden oder Kreditkartendaten übertragen, als unsicher anzeigen. Es gibt vorerst nur eine Warnung "Not secure" oder "Nicht sicher" bei der Anzeige der Seite.

(Quelle: Google)

Insgesamt ist das eine sinnvolle Geschichte, da Kennwörter und Zahlungsinformationen nicht unverschlüsselt übertragen werden sollen. Zu einem späteren Zeitpunkt will Google dann alle per http übermittelten Webseiten bei der Anzeige im Inkognito-Modus als "nicht sicher" markieren. Wenn ich den Blog-Beitrag von Google richtig interpretiere, sollen irgendwann alle per http übertragenen Webseite im Google Chrome-Browser mit einem roten Dreieck gekennzeichnet werden. Dieses Symbol wird auch verwendet, wenn eine https-Übertragung als unsicher oder gebrochen eingestuft wird.

(Quelle: Google)

Begründung ist, dass eine unverschlüsselt übertragene Webseite mitgelesen und modifiziert werden könnte. Die Details sind in diesem englischsprachigen Blog-Beitrag von Google zu finden. Und da fangen meine Probleme mit dem Google-Ansatz an.

Wo ich die Probleme beim Google-Ansatz sehe …

Während die https-Übertragung bei der Eingabe sensitiver Daten sicherlich sehr sinnvoll ist, versucht Google imho das "Kind mit dem Bade" auszuschütten. Millionen einfache Webseiten, die ein paar Informationen bereitstellen, sollen so auf die https-Übertragung "gezwungen" werden. Steigerung der Sicherheit? In meinen Augen Null. Warum?

Es ist zwar korrekt, dass die Übertragung der http-Daten gelesen und modifiziert werden kann. Aber mitlesen kann jeder, der die URL der abgerufenen Webseite kennt. Solange der Benutzer keine sensitiven Daten in die Formulare einer Webseite einträgt, sehe ich das unkritisch.

Und zum Thema "Modifizierung der Übertragung": die "Hacks" passieren doch an anderer Stelle. Ein kompromittierter Webserver, der Schadsoftware ausliefert. Super-Cookies, die von Werbetreibenden gesetzt werden, um das Surfverhalten der Nutzer zu verfolgen. Oder kompromittierte Werbenetzwerke (an denen Google ja auch beteiligt ist), die Malware ausrollen, das sind imho alles viel größere Bedrohungen, als ein Man-in-the-middle-Angriff bei einer http-Übertragung. Einzig die "Umleitung beim Phishing durch gefakte Webseiten" könnte ggf. noch manchen Zeitgenossen retten – obwohl der die Warnung im Browser vermutlich ignoriert.

Gehe ich noch einen Schritt weiter, wird sichtbar, wo es noch krankt. Die Hersteller von Internet Security-Lösungen unternehmen momentan alle möglichen Klimmzüge, um sich in die https-Verschlüsselung einzuklinken und den Datenstrom der "ach so sicheren" https-Übertragung mitlesen und auf Schadsoftware überwachen zu können. Und hebeln dann nicht selten die komplette https-Verschlüsselung durch fehlerhafte Implementierung aus (siehe z.B. diesen Blog-Beitrag). Und geklaute Zertifikate (siehe hier) reißen ebenfalls Sicherheitslücken auf. Also wird da wiederum ein großer Ballon aufgeblasen, der den Aufwand hoch treibt und die Sicherheit gelegentlich reduziert.

Unter dem Strich: Hier wird in meinen Augen ein sinnvoller Ansatz, https da einzusetzen, wo sensitive Informationen übertragen werden, konterkariert. Am Ende des Tages ist der Ansatz imho nur ein gigantisches Umverteilungsprogramm für Zertifikate-Aussteller, die die Zertifikate kostenpflichtig ausstellen und zyklisch erneuern können. Für mich als Blog-Betreiber bedeutet das, dass ich mich um die jeweiligen kostenpflichtigen Zertifikate kümmern, diese einbinden und auch pflegen muss. Macht Aufwand, ohne dass sich an der Sicherheit der öffentlich abrufbaren Blog-Beiträge ein Jota ändert.

Wenn ich mir die Kommentare hier, hier, hier oder hier ansehe, bin ich nicht alleine. In Zeiten, wo Millionen E-Mails per unverschlüsseltem Protokoll verschickt werden, erscheint mit der Google-Ansatz jedenfalls reichlich überdimensioniert und kontraproduktiv. Aber möglicherweise habe ich was übersehen – oder gibt es von eurer Seite andere Insights? (via)