SSL im Eigenbau ?

[Sven Rautenberg]

Moin!

Ich habe mir gedacht, dass ich somit eine sehr hohe Sicherheit erziele. Was sagt ihr dazu ?

Ich halte davon nichts.

Erstens hast du nicht die Vorteile, die eine SSL-Verbindung bietet:
1. Man muß sich nicht drum kümmern.
2. Der Benutzer sieht sofort, dass die Verbindung sicher ist.
3. Er wird beim Datensenden u.U. auch nicht extra darauf hingewiesen, dass die Daten unsicher versandt werden.

Alle diese Dinge hat dein System nicht. Es könnte also genausogut auch weggelassen werden - rein optisch tut das nichts zur Sache. Und du kannst hundertmal beteuern, dass deine Lösung sicher sei - das kann niemand ohne kryptologische Ausbildung nachprüfen. Du verbesserst deinen Shop also nicht, und viele Kunden werden sich wegen der mangelnden Verschlüsselung beim Kaufen zurückhalten.

Zweitens ist sicher, dass du Fehler machst. Du wirst dir potentiell also irgendeine Schwachstelle einbauen, oder irgendwas vergessen, so dass dein Schutz angreifbar oder gar wirkungslos wird.

Drittens: Wie ist die Performance denn so? Und wie kriegst du die Schlüssel hin? Du mußt dich schon irgendwie gut mit Cryptographie auskenne, um wirklich gute Zufallsquellen zu finden, um die Schlüssel zu generieren. Oder du nimmst ein asymmetrisches Public-Key-Verfahren (bedenke aber: PGP und GnuPG generieren für jede Nachricht einen symmetrischen Schlüssel und verschlüsseln den dann asymmetrisch - u.A. aus Performancegründen).

All diese Dinge sprechen extrem gegen Eigenbaulösungen. Zuallererst natürlich, dass es kein echtes SSL ist, und die nachgebaute Sicherheit von niemandem überprüft werden kann. Das wird dich aber vermutlich nicht davon abhalten, es dennoch zu versuchen, oder?

- Sven Rautenberg