Basic principles of SSL

Preface

The topic data security is now more important than ever before. Most of us are almost constantly online be it with a laptop, smartphone or tablet. We retrieve our mails everywhere, chat with friends or shop online. Unfortunately, the least attention is paid to whether the data is also protected, that is to say the data is encrypted when being transferred, while you are logged in to your bank or interacting with a merchant who processes your credit card data.  It is now easier for companies to give their customers the right security than ever before.

With an SSL certificate implemented on the website, any data exchange is completely encrypted which means that data can not be read by anyone else. An EV certificate also strengthens the trust of the customer or prospective customer by directly displaying that the company has been verified and actually exists. For the site operator, there is another advantage: Google now evaluates all websites with Always-On-SSL better than those with only one certificate in a sub-area on the website or if no certificate is used at all.

Certificate Types

Grundsätzlich gibt es drei Typen von SSL-Zertifikaten. Diese unterscheiden sich in der Art der Verifikation und den für den User/Endkunden sichtbaren Informationen innerhalb des Zertifikates. Eine mit einem SSL Zertifikat gesicherte Webseite erkennt man an dem angezeigten Schloss in der Browserleiste. Die Zertifikatsdetails erreicht man indem man auf das Schloss und anschliessend auf weitere Informationen/Details/Zertifikat anzeigen, klickt. Im Regelfall sind das drei bis vier Klicks.

Zertifikate mit erweiterter Validierung (EV)

Die für Kunden/User vertrauenswürdigsten Zertifikate für Webseiten sind die Zertifikate mit der erweiterten Validierung (EV). Vor Austellung der Zertifikate wird der jeweilige Antragssteller und seine Daten genau von der entsprechenden ausstellenden Behörde geprüft.

Zuerst wird geprüft ob der Antragsteller Inhaber der Domain ist. Darüber hinaus wird das Unternehmen anhand des Handelsregistereintrages überprüft. Zuletzt erfolgt eine telefonische Verifikation. Das heißt, es wird die Telefonnummer des Unternehmens in einem öffentlichen Verzeichnis gesucht und ein Anruf an die dort hinterlegte Nummer erfolgt. Der Verification Call erfolgt dabei in mehreren Schritten :

• Der erste Anruf geht an die Personalabteilung um zu klären ob der bei der Bestellung eingetragene Mitarbeiter für das Unternehmen tätig ist.
• Anschliessend erfolgt ein Anruf des Vorgesetzten um zu prüfen ob der Ansprechpartner die Berechtigung zu dieser Order hat.
• Abschliessend erfolgt ein Anruf bei dem eigentlichen Ansprechpartner um die Order zu bestätigen. 

Diese Verification Calls erfolgen in der Regel in Englisch und während der Geschäftszeiten.

Durch die erweiterte Validierung und die Beschränkungen bei der Ausstellung wird es dem Kunden einfacher gemacht zu erkennen, dass ein Zertifikat aktiv ist und wer der Betreiber der Seite ist. Im Gegensatz zu den beiden anderen Arten von Zertifikatstypen wird hier nicht nur das kleine grüne Schloss angezeigt, sondern zusätzlich der Betreiber der Seite angezeigt.

Durch einen Klick auf den grünen Bereich erhält der Kunde/User weitere Informationen über den Betreiber der Webseite.

Die Vorteile dieses Zertifikattyps liegen somit klar auf der Hand. Besucher der Seite werden optisch sofort auf die SSL Verschlüsselung und das Unternehmen, das die Seite betreibt, hingewiesen. Weitere Informationen findet der Kunden mit nur ein oder zwei Klicks anstatt sich mühsam durch versteckte Details klicken zu müssen.

Zertifikate mit Unternehmens Validierung (OV)

Der nächste Zertifikatstyp ist das unternehmensvalidierte Zertifikat (OV). Bei diesem Zertifikat entspricht der Validierungsprozess weitesgehend dem der EV Zertifikate. Auch hier ist bereits vor der Bestellung wichtig, dass entsprechende Einträge in Whois, Handelsregister oder dem Telefonbuch abgeglichen werden. Sobald das Zertifikat ausgestellt wurde, erscheint neben der Domain auch das Unternehmen in den Zertifikatsdetails. Das gibt den Usern/Kunden die Sicherheit, dass es sich hier um eine existierende Firma handelt. In der Adresszeile des Browsers erscheint nur das grüne Schloss!

Zertifikate mit Domains Validierung (DV)

Die geringste Sicherheit bieten daneben die günstigen domainvalidierten Zertifikate (DV). Die Validierung erfolgt hier beispielsweise über eine Bestätigungs-E-Mail, die an eine vorgeschriebene Empfängeradresse versendet wird. In dieser E-Mail befindet sich ein Link über den der Auftrag bestätigen werden kann. Ist die Bestätigung erfolgt, wird das Zertifikat innerhalb weniger Minuten ausgestellt. Da bei diesem Zertifikatstyp keine weitere Prüfung stattfindet, gibt es innerhalb des Zertifikats keine Informationen zum Betreiber der Website, aber der Common Name wird gelistet.