Entwicklung der Internetsicherheit 30 Jahre Internet – 30 Jahre (Un-)Sicherheit

Vor über 30 Jahren ging die erste Webseite online – heute besteht das WWW aus rund 1,8 Mrd. Internetseiten. Was hat sich in Sachen Sicherheit in den letzten drei Jahrzehnten getan? Und wo besteht heute noch Handlungsbedarf?

Das Internet ist aus unserem Alltag nicht mehr wegzudenken. Es dient uns als Wissens- und Informationsquelle und bildete während der Pandemie einen wichtigen Grundpfeiler digitaler Kommunikation. Umso wichtiger ist es, das alles, was mit dem World Wide Web zu tun hat, geschützt ist; ob Webauftritte, Server oder Netzwerk-Infrastrukturen. Gerade in Zeiten, in denen die Cyberkriminalitätsrate stetig steigt. Vielen Bereiche des Internets sind allerdings noch ungeschützt –die Protokolle und Technologien stammen zum Teil noch aus den Anfangstagen, als Sicherheit noch eine untergeordnete Rolle spielte.

HTTPS als Bilderbuchbeispiel

Eine Website ist in der Regel ein Ort, an dem ein Betreiber Inhalte hostet, mit denen andere Personen interagieren. Jede Interaktion mit einer Website wird über das Internet übertragen. Seit der Einführung im Jahr 1991 folgen Webseiten dem ungesicherten HTTP-Standard. Das Problem: Das Transferprotokoll kümmerte sich als Application Layer Protocol bis dato lediglich um die Sichtbarkeit von Inhalten in Form von Klartext – nicht aber um die Absicherung und Verschlüsselung des Datentransports vom Client zum Server. Durch fehlende Secure Soket Layer (SSL) war HTTP unsicher und machte folglich alle Organisationen, die den Standard nutzten, angreifbar: Jeder, der in der Lage ist, auf diesen Datenverkehr zuzugreifen, konnte den Inhalt sehen.

Heute hat sich der sichere HTTPS-Standard durchgesetzt: Dieser verschlüsselt die Verbindung zwischen Webserver und Browser mit Hilfe von SSL-/TLS-Zertifikaten und ist heute nicht mehr wegzudenken. Die Entwicklung ist eine der größten Veränderungen der Sicherheit in den letzten 30 Jahren und ein leuchtendes Beispiel dafür, wie Schwachstellen aus der Anfangszeit des Webs nachhaltig behoben werden können. Es geht allerdings auch anders.

Universelle Verschlüsselungsstandards noch im Entwicklungsstadium

Es existieren weiterhin unverschlüsselte Technologien aus den Anfangstagen des Internets, als Sicherheit noch nicht von Anfang an mitgedacht wurde. Der wohl prominentesten begegnen wir täglich im Netz: DNS-Abfragen. Das Domain Name System (DNS) ist das Adressbuch des Internets. Sobald User eine Anfrage an eine Website stellen, etwa „security-insider.de“, fragt der Browser einen DNS-Resolver nach der IP-Adresse der angefragten Seite.

Das Problem: Sowohl die DNS-Abfrage als auch die Antwort darauf ist meist ungeschützt. So können angesteuerte Webseiten und Domains einfach manipuliert, nachverfolgt und protokolliert werden. Das Sammelsurium solch DNS-zentrierter Angriffszenarien bezeichnet man als Spoofing: In der DNS-Namensauflösung wird die IP-Adresse der Ziel-Domain manipuliert. Das Endgerät greift dann auf eine gefälschte IP zu und der Datenverkehr wird auf den Server des „bösartigen“ Hosts umgeleitet. Der kann das Endgerät mit Malware infizieren oder auf vertrauliche Daten zugreifen.

Weit verbreitete DNS-Verschlüsselung würde Nutzern mehr Privatsphäre und Sicherheit verschaffen. So stehen aktuell verschiedene Lösungsansätze zur Debatte, etwa DNS over TLS (DoT) und DNS over HTTPS (DoH). DoT-Standards betten die ursprüngliche DNS-Nachricht direkt in den sicheren TLS-Kanal ein, anstatt HTTPS zu nutzen. Von außen lässt sich dann der abgefragte Name weder feststellen noch ändern. Der DoH-Standard wurde unter anderem entwickelt, damit Webanwendungen über vorhandene Browser-APIs auf das DNS zugreifen können. Hierzu läuft der DNS-Verkehr über verschlüsselten HTTPS-Verbindung zu DoH-Resolvern. Der DoH-Protokollstandard versteckt dabei den eigentlichen HTTPS-Verkehr und bewahrt ihn vor Manipulation von außen – wie ein Schutzschild. DoT und DoH sind zwar wichtig, aber noch relativ neu und werden noch nicht universell eingesetzt.

Browser-Isolierung stärkt die Sicherheit

Browser sind die Grundlage einer jeden Suchanfrage im Internet. Umso wichtiger ist es, sie zu schützen. Das gilt für Privataktivitäten wie für den Gebrauch in Unternehmen, insbesondere da immer mehr Anwendungen für Unternehmensnutzer aus dem Browser heraus bedient werden.

Um Sicherheit bei der Browser-Nutzung zu gewährleisten, können sich User verschiedener Standards bedienen. Der vollständigste darunter ist die Browser-Isolierung. Das Kernkonzept hierbei ist Sicherheit durch physische Isolation; es wird eine „Lücke“ zwischen dem Webbrowser und dem Endgerät bzw. Unternehmensnetzwerk geschaffen. Diese Lücke sichert gegen Browser-zentrierte Attacken, der Browser ist faktisch außer Reichweite der Angreifer.

Web-Gateways, Firewalls oder Antivirensoftware basieren lediglich auf bereits bekannten Bedrohungsmustern oder Signaturen. Im Gegensatz dazu beruht eine vollständige Isolation des Browsers auf dem Zero-Trust-Ansatz. Diese Abkapselung kann entweder lokal oder remote durchgeführt werden. Durch die lokale Isolierung wird das Risiko einfach vom Endpunkt an einen anderen Standort verlagert, ohne das eigentliche Risiko zu beseitigen. Cloud-basierte Isolierung trennt das Unternehmensnetzwerk oder das Gerät des Endbenutzers und ermöglicht gleichzeitig vollständige IT-Kontroll- und Compliance-Lösungen.

Auch wenn die Browser-Isolierung eine Trennung vorsieht, sollten Sicherheitsstandards an sich nicht isoliert voneinander betrachtet werden. Sofern miteinander kompatibel, sollten Nutzer alles daran setzen, ihre Aktivitäten so sicher wie möglich zu gestalten – das bedeutet auch, Standards miteinander zu kombinieren.

Wohin entwickelt sich die Internetsicherheit in den nächsten Jahren?

Das Internet ist einer der zentralsten Bestandteile unseres Lebens geworden. Dennoch offenbart sich durch die steigende Abhängigkeit auch die Schwachstelle dieser globalen Ressource: Sie wurde zu lange ohne Sicherheitsgedanken entwickelt.

Heutzutage muss alles, was mit dem Internet verbunden wird, über aktive Sicherheitsstandards verfügen. Baut man diese nachträglich ein, ist es oftmals schon zu spät. Durch Cloud Computing in globalen Netzwerken lassen sich Sicherheit, Datenschutz, Leistung und Zuverlässigkeit auf elegante Weise miteinander verbinden. Je mehr Menschen sich dem Netz anschließen, desto sicherer und performanter wird es für alle

Über den Autor: Stefan Henke ist Head of DACH bei Cloudflare, dem Unternehmen für Internet-Infrastruktur und Sicherheit. Zuvor war er für Symantec und Veritas tätig. Seit August 2018 konzentriert sich Henke darauf, Cloudflares Mission – die weltweite Verbesserung des Internets – in Deutschland, Österreich und der Schweiz voranzutreiben.

(ID:47966585)