Beim Stand der Verschlüsselung im Web geht es zwei Schritte vor und einen zurück. Im Vergleich zu unserem letzten Bericht von Anfang 2020 zeigt der TLS-Telemetriebericht 2021 in mehrfacher Hinsicht Verbesserungen bei der Webverschlüsselung. Die Verbreitung von Transport Layer Security (TLS) 1.3 hat zugenommen. Dadurch wurde die enorme Vielfalt der zuvor verfügbaren Cipher Suites reduziert und einige, die zweifellos längst überholt waren, endgültig ausgemustert.
Gleichzeitig machen Stagnation oder Rückschritte in vielen Bereichen aufgrund der Flexibilität von HTTPS und der Aushandlung von Verschlüsselungsverfahren einen Teil der Fortschritte wieder zunichte. SSL 3 (der Vorgänger von TLS) ist einfach nicht totzukriegen, die Hälfte aller Webserver lässt unsichere RSA-Schlüsselaustauschverfahren zu, der Widerruf von Zertifikaten ist bestenfalls problematisch, und überall sind alte, nur selten aktualisierte Server zu finden.
Natürlich besteht weiterhin die Gefahr, dass Webverschlüsselung für böswillige Zwecke eingesetzt oder missbraucht wird. Angreifer haben gelernt, TLS bei Phishing-Kampagnen zu ihrem Vorteil zu nutzen, Regierungen weltweit versuchen, die Verschlüsselung zu ihren Gunsten zu untergraben, und Fingerprinting-Techniken werfen Fragen zur Verbreitung von Malware-Servern unter den eine Million meistbesuchten Websites auf.
Lesen Sie weiter, um detaillierte Statistiken darüber zu erhalten, was in der Welt der TLS-Verschlüsselung gut, besorgniserregend und schlecht ist.
Das Gute
Das schnellere und sicherere TLS 1.3 setzt sich zunehmend durch, die Gültigkeitsdauer von Zertifikaten wird kürzer und der Einsatz fortschrittlicher Verschlüsselungs- und Hash-Algorithmen nimmt zu.
- Zum ersten Mal war TLS 1.3 das bevorzugte Verschlüsselungsprotokoll auf der Mehrheit der Webserver auf der Tranco-1M-Liste. Fast 63 % der Server bevorzugen inzwischen TLS 1.3, ebenso wie über 95 % aller derzeit verwendeten Browser.
- Kanada und die Vereinigten Staaten liegen deutlich an der Spitze: Kanadische Server bevorzugen TLS 1.3 in fast 80 % der Fälle, US-amerikanische Server in knapp über 75 %.
- Mehr als drei Viertel aller TLS-Verbindungen auf den eine Million meistbesuchten Websites verwenden AES (mit einem 256-Bit-Schlüssel) und den SHA-2-Hashalgorithmus (mit einer Ausgabelänge von 384 Bit).
- TLS 1.3 beseitigt das Risiko, das mit dem weniger sicheren RSA-Schlüsselaustausch verbunden ist, da nur ECDHE-Schlüsselvereinbarungen zulässig sind. Infolgedessen werden zunehmend ECC-Zertifikate mit dem Elliptic Curve Digital Signature Algorithm (ECDSA) eingesetzt. Etwas mehr als 24 % der führenden Websites verwenden 256-Bit-ECDSA-Zertifikate, während rund 1 % 384-Bit-ECDSA-Zertifikate verwenden.
- Die maximale Gültigkeitsdauer neu ausgestellter Zertifikate wurde im September 2020 deutlich verkürzt – von drei Jahren auf nur noch 398 Tage. Auch der Trend zu Zertifikaten mit äußerst kurzer Gültigkeitsdauer nimmt zu: Mit einem Anteil von 38 % an allen Zertifikaten waren 90 Tage die häufigste Gültigkeitsdauer.
Das weniger Gute
Zu viele Websites unterstützen weiterhin ältere kryptografische Protokolle und RSA-Zertifikate.
- Die Verbreitung von DNS-CAA-Einträgen stieg von 2019 (1,8 % der Websites) bis 2021 (3,5 %). Dies zeigt einen positiven und stetigen Anstieg, macht aber auch deutlich, wie wenige Websites sie nach wie vor verwenden.
- Bei den 100 meistbesuchten Websites war die Wahrscheinlichkeit höher, dass sie weiterhin SSL 3, TLS 1.0 und TLS 1.1 unterstützten, als bei Servern mit deutlich weniger Datenverkehr.
- Bei 2 % der Websites ist SSL 3 noch immer aktiviert, was zwar einen gewissen Fortschritt bei der Entfernung aus dem Web darstellt, unserer Ansicht nach aber nicht genug ist.
- 52 % der Server erlauben weiterhin die Verwendung unsicherer RSA-Schlüsselaustauschverfahren, wenn der Client nur diese unterstützt.
- Von den 1 Mio. Websites, die wir gescannt haben, verwendeten 0,3 % RSA-Zertifikate mit 1024-Bit-Schlüsseln, die seit 2013 nicht mehr von vertrauenswürdigen Zertifizierungsstellen erhältlich sind.
- 70 % der Websites, die 1024-Bit-Zertifikate verwenden, laufen mit Apache, davon 22 % mit Apache 2.0. Da Apache 2.0 im Jahr 2002 veröffentlicht und zuletzt 2013 gepatcht wurde, deutet dies stark darauf hin, dass viele Webserver einmal konfiguriert und erst wieder angefasst werden, wenn das Zertifikat erneuert werden muss.
- Methoden zum Widerruf von Zertifikaten funktionieren nahezu überhaupt nicht mehr, weshalb Zertifizierungsstellen und Browseranbieter zunehmend auf Zertifikate mit extrem kurzer Gültigkeitsdauer umsteigen möchten.
Das schlichtweg Schlechte
Phishing ist weit verbreitet und wird so schnell nicht verschwinden.
- Der Anteil der Phishing-Websites, die HTTPS mit gültigen Zertifikaten verwenden, um auf ihre Opfer seriöser zu wirken, stieg von 70 % im Jahr 2019 auf fast 83 %. Rund 80 % der schädlichen Websites stammen von nur 3,8 % der Hosting-Anbieter.
- Bei den Dienstanbietern bevorzugten Phisher tendenziell Fastly, dicht gefolgt von Unified Layer, Cloudflare und Namecheap.
- Facebook und Microsoft Outlook/Office 365 waren die Marken, die bei Phishing-Angriffen am häufigsten imitiert wurden. Gestohlene Zugangsdaten von diesen Websites sind äußerst wertvoll, unter anderem weil viele andere Konten diese als Identitätsanbieter (IdP) oder für die Funktion zum Zurücksetzen des Passworts nutzen.
- Webmail-Plattformen machten 10,4 % der imitierten Webfunktionen aus und lagen damit fast gleichauf mit Facebook. Das bedeutet, dass Phishing-Angriffe auf Webmail-Dienste ebenso häufig vorkommen wie auf Facebook-Konten.
Die Arbeit geht weiter
Mit Blick auf das Jahr 2022 ist klar, dass wir mit zwei wichtigen Realitäten konfrontiert sind. Zum einen war der Wunsch, Verschlüsselung abzufangen, zu umgehen und zu schwächen, noch nie so groß. Nationalstaaten und Cyberkriminelle arbeiten daran, die Probleme zu überwinden, die ihnen eine starke Verschlüsselung bereitet, und suchen nach kreativen Möglichkeiten, Informationen vor oder nach der Verschlüsselung abzufangen oder zu erfassen. Zum anderen liegen die größten Schwachstellen nicht in den neuesten Funktionen, deren Einführung uns schwerfällt, sondern in den alten, die wir nur ungern deaktivieren. Solange nicht beide Probleme gelöst sind, sollte der Einsatz unterstützender Protokolle wie DNS CAA und HSTS Priorität haben, damit kleinere Lücken in der Sicherheit von HTTPS nicht ausgenutzt werden können.
Klicken Sie hier, um den vollständigen TLS-Telemetriebericht 2021 anzusehen oder herunterzuladen.
Über die Studie
Der Großteil der Daten in dieser Studie stammt aus unseren Cryptonice-Scans der beliebtesten Websites auf der Tranco top 1M list, in der eine Million beliebte Domains aufgeführt sind. Darüber hinaus untersuchen wir von OpenPhish gemeldete Phishing-Websites und ergänzen unsere Ergebnisse durch von Shape Security erfasste Client-Daten (Browserdaten), um ein klares Bild der am häufigsten verwendeten Browser und Bots zu erhalten. Weitere Informationen finden Sie bei F5 Labs.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...