Google stattet seine Top-Level-Domains mit dem Schutzmechanismus HTTP Strict Transport Security aus um den verschlüsselten Website-Zugriff zu gewährleisten. Dabei werden Preload-Listen-Einträge verwendet um den Schutz standardmäßig zu aktivieren.
Das teilte das Unternehmen in einem Blogeintrag mit. Wer eine zugehörige Domain registriere und anschließend ein SSL-Zertifikat einrichte, erhalte unmittelbaren Schutz für sich und die Besucher seiner Website.
Mittels HSTS kann ein Server den Browser anweisen, sich für einen bestimmten Zeitraum ausschließlich via HTTPS zu verbinden. Das erschwert Man-in-the-Middle-Angriffe: Ruft der Nutzer etwa die Adressehttp://paypal.comauf,steuert der Browser direkthttps://paypal.coman,ohne dass ein Angreifer die sonst stattfindende Umleitung auf die verschlüsselte Ausgabe mit Tools wie sslstrip verhindern kann.
Googles Top-Level-Domains stehen künftig auf einer speziellen HSTS-Preload-Liste des Chrome-Browsers. Auf ihr basieren die Preload-Listen der meisten gängigen Browser ? darunter Edge, Firefox Internet Explorer Opera & Safari. Die TLD-Einträge sorgen dafür, dass die Browser alle zugehörigen (Sub-)Domains dauerhaft via HTTPS aufrufen. Zudem bieten sie den zusätzlichen Sicherheitsvorteil. Dass Browser bereits beim ersten Seitenaufruf "wissen", dass sofort eine verschlüsselte Verbindung aufgebaut werden soll. Somit sind diese nicht auf eine (durch Angreifer manipulierbare) Rückmeldung des Servers angewiesen.
Manueller Eintrag in Preload-Liste kostenlos möglich
Laut Googles Blogeintrag ist die TLD .google bereits seit 2015 Bestandteil der Preload-Liste; beginnend mit .foo und .dev sollen nun nach und nach weitere folgen. Einen Zeitrahmen für sein Vorhaben nennt das Unternehmen nicht. Unabhängig von Googles Vorhaben können Website-Betreiber ebenfalls einzelne Domains & Subdomains mit aktivem HSTS manuell ? und kostenlos ? in Chromes Preload-Liste eintragen. Google weist allerdings darauf hin, dass zwischen einem solchen Eintrag und der Aktualisierung der Listen mittels Browser-Updates durchaus mehrere Monate vergehen können.
Kommentare