HTTPS-Sicherheit in Firefox erhöhen

clemens , So., 01.01.2017 - 17:31 Uhr

HTTPS-Verbindungen sind verschlüsselte Verbindungen zwischen dem Besucher der Internetseite und dem Server, auf dem die besuchte Internetseite liegt. Man erkennt HTTPS-Verbindungen an dem grünen Schloss links neben der Adressleiste im Browser. Fehlt das grüne Schloss oder ist es an einer anderen Stelle, so ist die Verbindung nicht geschützt.

Die Verbindung zu frei-fragen.de ist über eine HTTPS-Verbindung verschlüsselt.
Die Verbindung zu frei-fragen.de ist über eine HTTPS-Verbindung verschlüsselt.

Verwendet werden sollten HTTPS-Verbindungen immer dort, wo sensible Daten übertragen werden. Dies ist beispielsweise der Fall beim Login auf Internetseiten, beim Shoppen im Internet oder beim Austauschen von Dokumenten und Dateien durch das Hoch- oder Herunterladen. Die ausgetauschten Informationen sind dann schwieriger von Dritten mitzulesen und zu manipulieren. Auch weniger sensible Daten können durch HTTPS-Verbindungen geschützt werden. Der Betreiber einer Internetseite entscheidet, ob er sie über eine verschlüsselte Verbindung zur Verfügung stellen möchte.

Dass eine Internetseite eine HTTPS-Verbindung bietet ist gut. Es kommt jedoch auch auf die Qualität der HTTPS-Verbindung an. Mit wenigen Schritten kann man die Sicherheit der HTTPS-Verbindungen in Firefox erhöhen. Hierzu geht man wie folgt vor:

  1. In der Adressleiste "about:config" eingeben,
  2. dann im Suchfeld "security.tls.version.min" eingeben,
  3. Doppelklick auf den gleichnamigen Eintrag machen,
  4. Den Wert von 1 auf 3 erhöhen

Die Einstellung "security.tls.version.min" gibt an, welche TLS-Version unser Browser als Minimum für unsere HTTPS-Verbindung akzeptieren soll. TLS ist der Nachfolger von SSL. Der Wert 3 steht für TLS 1.2 und damit für die aktuelle Version (Stand: 01.01.2017). Vorige Versionen sind nachweislich unsicher und sollten nicht mehr verwendet werden.

Zur weiteren Verbesserung der Browser-Sicherheit geht man wie folgt vor:

  1. Im Suchfeld "security.ssl3." eingeben,
  2. alle Einträge doppelklicken, in denen die Zahl 128 vorkommt.

Durch das Doppelklicken der Einträge werden diese von "true" (wahr/aktiviert) auf "false" (falsch/deaktiviert) umgestellt. Zum Zeitpunkt des Artikels waren dies die folgenden Einträge in Firefox Version 50.1.0:

  • security.ssl3.dhe_rsa_aes_128_sha
  • security.ssl3.ecdhe_ecdsa_aes_128_gcm_sha256
  • security.ssl3.ecdhe_ecdsa_aes_128_sha
  • security.ssl3.ecdhe_rsa_aes_128_gcm_sha256
  • security.ssl3.ecdhe_rsa_aes_128_sha
  • security.ssl3.rsa_aes_128_sha

Hierdurch werden die Verschlüsselungen deaktiviert, bei denen die Schlüssellänge 128 Bit beträgt. Diese Schlüssellänge ist heutzutage nicht mehr ausreichend, weil die heutigen Computer mittlerweile Schlüssel mit einer solchen Länge knacken können. Als Alternative stehen dem Browser dann die gleichen Verschlüsselungen bloß mit 256 Bit Schlüssellänge zur Verfügung.

Abschließend sei zu sagen, dass sich diese Änderungen an den Einstellungen des Browsers in der Regel nur positiv auswirken dürften. Sollte nach den Änderungen eine Internetseite nicht mehr funktionieren, weil eine Warnmeldung erscheint, sollte diese Internetseite nicht mehr besucht werden. Sie unterstützt dann nur schlechte HTTPS-Verbindungen und dies gilt es zu vermeiden.

Update vom 05.01.2017: Aus eigener Erfahrung und durch eine Bestätigung vom 01.01.2017 seitens des Online-Versandhändlers Amazon unterstützt die Amazon-Video-Seite momentan beim Videos wiedergeben noch kein TLS 1.2. Wann dies funktioniert, konnte man nicht mitteilen. Als Zwischenlösung kann man vor dem Video schauen den Wert von "security.tls.version.min" von 3 wieder auf 1 senken. Wenn man dann mit dem Video schauen fertig ist, setzt man den Wert einfach wieder zurück auf 3.

Zudem hat ein aufmerksamer Leser darauf hingewiesen, dass in der Liste die Verschlüsselung "security.ssl3.dhe_rsa_aes_128_sha" fehlte. Diese wurde der Liste nun hinzugefügt. Danke an den Leser für den Hinweis!

Schlagworte