SSL im Eigenbau ?

[Tim Tepaße]

Hallo Hanno,

Ich habe mir gedacht, dass ich somit eine sehr hohe Sicherheit erziele. Was
sagt ihr dazu ?

Daß Du so gut wie überhaupt keine Sicherheit erziehltst. Und das liegt
nicht an der Verwendung von AES, sondern an Deinen grundsätzlichen
Konzeptionsmangeln. Sorry, daß ich so harsch klinge, anders ist es
aber nicht zu beurteilen.

Ich will versuchen, es zu erklären.

Du willst Daten (D) vom Browser (B) zum Server (S) zu übertragen, ohne daß
diese jemand (X) in der Mitte lesen kann.

D -> B --------------> S -> D    (Zeitpunkt t2)
              ^
              X

Dazu willst Du diese verschlüsseln und benutzt AES. Soweit so gut.
AES ist ein klassischer Blockchiffrealgorithmus, der zum Verschlüsseln
einen Schlüssel benötigt:

AES(Daten, Schlüssel) = Murks

Soweit, so sicher. Aber Dein Problem liegt schon vorher. Woher weiß der
Browser nämlich, daß er AES und welchen Schlüssel verwenden soll?
Dadurch, daß es in der Seite steht. Und da Du kein SSL zur Verfügung
hast, wird diese Seite unverschlüsselt übertragen.

Seite <- B <--------------- S <- Seite     (Zeitpunkt t1)
                  ^
                  X

Merkst Du was? Der potentielle Angreifer muß also nur das Senden der
Seite an den Browser abhören, in den (unverschlüsselten) Quelltext
gucken und feststellen, daß a) AES verwendet wird und b) welcher
Schlüssel verwendet wird.

Und schon hat er alle benötigten Daten, um die zum Zeitpunkt t2
versandten Daten wieder zu entschlüsseln, genauso wie der Server.

Dein Problem ist das altbekannte kryptographische Problem, der
Schlüssel zum entschlüsseln der verschlüsselten Botschaft zum
Sender bzw. Empfänger der Botschaft zu kriegen. Als Antwort
auf dieses Problem wurde das Public-Key-Verfahren entwickelt.

Dieses findet beispielsweise in PGP (bzw. GPG) seine Anwendung
und natürlich auch (Du ahnst es schon) in SSL.

Deswegen kann man Dir nur empfehlen: Verwende SSL. Es geht
einfach nicht anders, wenn man Sicherheit erreichen will.
Gerade bei so sensiblen Anwendungen wie einem Webshop.

• Tim