Ab September: Apple will Safari sicherer machen

Auf der Konferenz für Browser-Entwickler und Zertifizierungsstellen CA/Browser-Forum in Bratislava hat Apple letzte Woche angekündigt, dass Safari ab September nur noch Sicherheitszertifikate mit einer Gültigkeit von weniger als 13 Monaten, also 398 Tage akzeptieren wird. Was das bedeutet: Seit einiger Zeit werden Webseiten in einem verschlüsselten Format ausgeliefert – dem Protokoll HTTPS – Das S am Ende der Bezeichnung HTTPS bedeutet “Secure”. Die Verschlüsselung soll den Endnutzer vor sogenannten Man-in-the-Middle-Attacken absichern: Wird die Verbindung in einem öffentlichen Wlan abgefangen, bekommt der böswillige Angreifer nur einen Buchstabensalat anstatt geordneter Inhalte.

Der Browser zeigt eine solche Verbindung mit einem kleinen Schloss in der Adressleiste an. Dies bedeutet, dass die Datenübergabe vom Server des Anbieters auf das Gerät des Nutzers verschlüsselt ist. Die Gültigkeit der Verschlüsselung wird mit Hilfe eines Sicherheitszertifikates bestätigt. Dieses überträgt eine Webseite am Anfang einer Verbindung an Safari – um sich auszuweisen, dass sie legitim ist und von einem legitimen Betreiber stammt. Die Sicherheitszertifikate werden von externen Zertifizierungsstellen ausgestellt und dienen quasi als Ausweis einer Webseite wie Macwelt.de oder Amazon.com. Die Zertifikate haben ein Gültigkeitsdatum, momentan sind Zertifikate zwei Jahre gültig, vormals waren fünf Jahre Gültigkeit keine Seltenheit.

Apple hat für Safari die Laufzeit der Zertifikate auf ein Jahr verkürzt, da dies mehr Sicherheit für Nutzer bedeutet: Wird eine Zertifizierungsstelle kompromittiert ( Vorfälle gab es bereits in der Vergangenheit ) oder werden die Sicherheitslücken im Verschlüsselungsprotokoll entdeckt, ist es einfacher und schneller möglich, auf die neuen Zertifikate umzusteigen, weil sie eh in wenigen Monaten ausgetauscht werden müssen. Für die iOS- und macOS-Nutzer wird sich mit der Ankündigung an der Oberfläche fast gar nicht ändern, allerdings werden manche Seiten plötzlich von Safari als unsicher eingestuft. Dies bedeutet dann in den meisten Fällen, dass die Webseitenbetreiber sich nicht rechtzeitig um die entsprechenden Zertifikate gekümmert haben.