Warum Klartext im Netz gefährlich ist
Ein sicheres Protokoll schützt Daten auf dem Weg durch das Netz, damit niemand unterwegs mitliest oder etwas ändert. Ohne Schutz kann jeder, der an der Leitung sitzt, Passwörter lesen.
Sie lernen, welches Protokoll wofür taugt und woran Sie eine schwache Einstellung erkennen. Das Beispiel ist ein Büro mit zwei Standorten.
Am Ende dieser Lektion
Notiz
Ich kann ein Protokoll wählen, das den Verkehr schützt, und eine schwache Einstellung erkennen.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Klartext | Daten, die jeder lesen kann, der sie abfängt | |
| TLS | Transport Layer Security: verschlüsselt die Verbindung zu einer Webseite | HTTPS |
| SSH | Secure Shell: ein verschlüsselter Fernzugang zu einem Rechner | |
| Tunnel | eine verschlüsselte Verbindung, die anderen Verkehr einpackt | VPN |
| Schlüsselpaar | ein öffentlicher und ein privater Schlüssel, die zusammengehören | |
| DNS | Domain Name System: wandelt Namen in Adressen um |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Unverschlüsselte Protokolle verraten alles
Telnet, FTP und HTTP senden Anmeldung und Inhalt als Klartext. Wer auf der Leitung mitliest, sieht sie wie eine Postkarte.
Die sicheren Gegenstücke verschlüsseln. TLS schützt die Webseite, SSH den Fernzugang. Beide beweisen außerdem, wer am anderen Ende steht.
Ein Beispiel: unsicher und sicher im Vergleich
| Aufgabe | Unsicher | Sicher | Was sich ändert |
|---|---|---|---|
| Webseite | HTTP | HTTPS (TLS) | Verschlüsselt, Server ausgewiesen |
| Fernzugang | Telnet | SSH | Verschlüsselt, Anmeldung per Schlüssel möglich |
| Dateiübertragung | FTP | SFTP über SSH | Verschlüsselt |
| Standorte verbinden | Offene Leitung | VPN-Tunnel | Alles im Tunnel verpackt |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Base64 ist keine Verschlüsselung
printf 'student:geheim' | base64Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Warum eine Umkodierung kein Schutz ist
Der Befehl gibt c3R1ZGVudDpnZWhlaW0= aus. Das sieht verschlüsselt aus, ist es aber nicht. Jeder kann es ohne Schlüssel zurückrechnen.
Manche Webseiten schicken Anmeldedaten so über HTTP. Nur eine echte Verschlüsselung wie TLS schützt sie auf dem Weg.
TLS schützt und weist den Server aus
Bei TLS prüft Ihr Browser ein Zertifikat des Servers. Es zeigt, dass der Server zu dem Namen gehört, den Sie eingegeben haben. Danach wird alles verschlüsselt.
Alte Versionen von TLS haben bekannte Schwächen. Ein Server sollte nur eine aktuelle Version anbieten, derzeit 1.2 oder 1.3.
Ein Beispiel: TLS-Versionen im Vergleich
| Version | Einschätzung | Maßnahme |
|---|---|---|
| 1.0 | Veraltet, bekannte Schwächen | Abschalten |
| 1.1 | Veraltet | Abschalten |
| 1.2 | Brauchbar bei guter Einstellung | Behalten |
| 1.3 | Aktuell und einfacher | Bevorzugen |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Schlüsselpaare ersetzen Passwörter
Ein Schlüsselpaar besteht aus einem öffentlichen und einem privaten Schlüssel. Den öffentlichen geben Sie weiter, den privaten behalten Sie.
SSH und der Tunnel eines VPN melden sich damit an. Der private Schlüssel darf nur von seinem Besitzer lesbar sein. Liegt er für alle offen, ist er wertlos.
Wie lang ist ein Schlüssel?
wg genkey | tr -d '\n' | wc -cHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Was die Länge sagt
Der Befehl erzeugt einen frischen privaten Schlüssel und gibt 44 aus: 44 Zeichen in Base64. Der Schlüssel selbst wird nicht angezeigt, denn er geht direkt in die Zählung.
Ein Schlüssel wird zufällig erzeugt, nie selbst ausgedacht. Darum ist er lang und für jeden Aufruf neu.
Wer darf eine Schlüsseldatei lesen?
(umask 077; touch /tmp/schluessel-a.key; stat -c %a /tmp/schluessel-a.key)Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Dieselbe Datei mit der Voreinstellung
(umask 022; touch /tmp/schluessel-b.key; stat -c %a /tmp/schluessel-b.key)Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Was die Rechte bedeuten
Der erste Befehl gibt 600 aus: Nur der Besitzer darf lesen und schreiben. Der zweite gibt 644 aus: Alle anderen dürfen lesen.
Für einen privaten Schlüssel ist nur 600 richtig. Den Wert bestimmt die umask beim Anlegen der Datei.
DNS im Klartext verrät, wohin Sie gehen
DNS ist das Telefonbuch des Netzes. Eine gewöhnliche Anfrage geht im Klartext hinaus. Wer mitliest, sieht jeden Namen, den Sie nachschlagen.
Zudem kann eine gefälschte Antwort Sie auf eine falsche Seite führen. Verschlüsselte DNS-Anfragen und Antworten, die ein Resolver prüft, mindern beide Risiken.
Ein häufiger Fehler
Warnung
Viele glauben, ein VPN mache alles sicher. Es schützt nur den Weg zwischen den zwei Enden. Ist ein Gerät am Ende übernommen oder der Schlüssel gestohlen, hilft der Tunnel nicht.