Was ist SSL-Entschlüsselung?

Bei der SSL-Entschlüsselung werden verschlüsselte SSL/TLS-Sitzungen abgefangen und entschlüsselt, damit Sicherheitsdienste – wie URL-Filterung, Virenschutz, Datenschutz (DLP) und Cloud Access Security Broker (CASB) – den zugrunde liegenden Datenverkehr auf Bedrohungen und Richtlinienverstöße überprüfen können, bevor er erneut verschlüsselt und an seinen Bestimmungsort weitergeleitet wird.

Die wichtigsten Erkenntnisse

• Entschlüsselt SSL/TLS-Datenverkehr, damit Sicherheitstools dessen Inhalt überprüfen können.
• Für eine gründliche Überprüfung erforderlich: DLP, CASB, Antivirus und URL-Filterung.
• Der Datenverkehr wird nach Abschluss der Überprüfung erneut verschlüsselt und weitergeleitet.
• Durch die Entschlüsselungsumgehung wird vertrauenswürdiger oder sensibler Datenverkehr von der Überprüfung ausgenommen.
• Dies hängt von einem vertrauenswürdigen Root-CA-Zertifikat ab, das auf den Client-Geräten installiert ist.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · SSL-Entschlüsselung & Versa · Häufig gestellte Fragen

Warum ist die SSL-Entschlüsselung wichtig?

Der Großteil des Unternehmensdatenverkehrs wird heutzutage mit SSL/TLS verschlüsselt, was zwar die Daten während der Übertragung schützt, aber auch herkömmliche Sicherheitstools „blind“ macht. Eine Firewall oder ein Gateway, das keinen Einblick in eine verschlüsselte Sitzung hat, kann nicht erkennen, ob es sich um einen legitimen Download, einen Versuch der Datenexfiltration oder um Malware handelt, die eine Nutzlast abruft. Die SSL-Entschlüsselung schließt diese Lücke, indem sie die Sitzung an einem Punkt zur Durchsetzung von Richtlinien entschlüsselt, sie überprüft und den Datenverkehr anschließend wieder verschlüsselt, bevor er weitergeleitet wird.

Ohne Entschlüsselung sehen Dienste wie Antiviren-, DLP- und CASB-Lösungen stets nur verschlüsselten Text – sie reagieren auf Metadaten wie Ziel-IP und SNI, niemals auf die Nutzdaten. Da verschlüsselter Datenverkehr mittlerweile fast den gesamten Web- und SaaS-Nutzung ausmacht, entscheidet die Entschlüsselung darüber, ob eine Richtlinie Inhalte tatsächlich überprüft oder nur Vermutungen anstellt. Die meisten Unternehmen gleichen dies durch selektive Entschlüsselung aus und nehmen Kategorien wie das Bankwesen oder das Gesundheitswesen aus, in denen der Datenschutz schwerer wiegt als der Nutzen.

Was ist SSL-Entschlüsselung?

Bei der SSL-Entschlüsselung – genauer gesagt bei der TLS-Entschlüsselung, da SSL der veraltete Vorgänger von TLS ist – wird die verschlüsselte Sitzung an einem Kontrollpunkt beendet, anstatt sie direkt durchzulassen. Ein Gateway befindet sich zwischen dem Client und dem Server, legt dem Client sein eigenes Zertifikat vor – signiert von einer Zertifizierungsstelle, der der Client vertraut – und handelt separat eine normale TLS-Sitzung mit dem eigentlichen Server aus. Da es über beide Sätze von Sitzungsschlüsseln verfügt, entschlüsselt es die Anfrage, überprüft sie, verschlüsselt sie erneut und leitet sie weiter; anschließend führt es denselben Vorgang in umgekehrter Reihenfolge für die Antwort durch.

Dazu muss das Root-CA-Zertifikat des Prüfgeräts im Vertrauensspeicher des Clients installiert sein, damit entschlüsselte Sitzungen keine Zertifikatswarnungen auslösen. Entschlüsselungsrichtlinien legen dann fest, welche Sitzungen geöffnet werden sollen – einige werden bewusst unberührt gelassen.

Arten der SSL-Entschlüsselung

Bei der SSL-Entschlüsselung lassen sich im Allgemeinen drei Ansätze unterscheiden. Bei der Forward-Entschlüsselung (ausgehender Datenverkehr) wird der Datenverkehr überprüft, den interne Benutzer ins Internet oder an SaaS-Anwendungen senden – dies ist die gängigste Einsatzweise, bei der ein Gateway URL-Filterung, DLP und Virenschutz anwendet, bevor der Datenverkehr das Netzwerk verlässt. Die Inbound-Entschlüsselung (Reverse-Proxy) schützt intern gehostete Server, indem Client-Anfragen entschlüsselt werden, bevor sie die Anwendung erreichen.

Die selektive (richtlinienbasierte) Entschlüsselung – auch als „Decrypt Bypass“ bezeichnet – nimmt bestimmten Datenverkehr je nach Kategorie, Ziel oder Zertifikatsattributen von der Überprüfung aus, sodass beispielsweise Bank- oder Gesundheitssitzungen aus Compliance-Gründen verschlüsselt bleiben. In den meisten Implementierungen werden alle drei Ansätze kombiniert: umfassende Vorwärtsentschlüsselung, gezielte Entschlüsselung des eingehenden Datenverkehrs und eine Bypass-Liste für Datenverkehr, der niemals entschlüsselt werden darf.

SSL-Entschlüsselung & Versa

In der „ Versa “-Plattform ist die SSL-Entschlüsselung eine Funktion, die von der URL-Filterung und anderen Überprüfungsfunktionen genutzt wird, um Einblick in verschlüsselte Sitzungen zu erhalten. Die URL-Filterung funktioniert sowohl mit als auch ohne aktivierte Entschlüsselung; durch die Aktivierung kann die Funktion den Datenverkehr jedoch anhand des tatsächlichen Hosts und der URI der entschlüsselten Anfrage statt allein anhand des SNI-Feldes kategorisieren, was eine detailliertere Filterung ermöglicht. Die gleiche Option steht auch für die NGFW-basierte URL-Filterung zur Verfügung. Über die Einstellung „Decrypt Bypass“ können Administratoren Datenverkehr, wie beispielsweise Weiterleitungen über Captive-Portale oder vertrauenswürdige Ziele, von der Entschlüsselung ausnehmen.

Beim „Versa “SASE Client hängt die Entschlüsselung von einem im Vertrauensspeicher des Endgeräts installierten Root-CA-Zertifikat ab; Browser überprüfen entschlüsselte Sitzungen anhand dieser internen Zertifizierungsstelle und nicht anhand einer öffentlichen. Fehlt das Zertifikat oder erfolgt die Validierung stattdessen durch eine öffentliche Zertifizierungsstelle, funktioniert die Entschlüsselung nicht.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SSL-Entschlüsselung und TLS-Prüfung?

Beide Begriffe beziehen sich auf dasselbe Verfahren. SSL ist der veraltete Vorgänger von TLS, doch „SSL-Entschlüsselung“ ist nach wie vor der branchenübliche Begriff, obwohl fast der gesamte heute entschlüsselte Datenverkehr auf TLS basiert und nicht auf dem älteren SSL-Protokoll. TLS-Prüfung ist lediglich die technisch präzisere Bezeichnung für denselben Vorgang des Entschlüsselns, Prüfen und erneuten Verschlüsselns.

Warum müssen Sicherheitstools den SSL/TLS-Datenverkehr entschlüsseln?

Eine Verschlüsselung, die Daten vor Lauschangriffen schützt, verbirgt auch bösartige Nutzdaten und Datenexfiltration vor Sicherheitstools. Ohne Entschlüsselung kann ein Gateway lediglich Metadaten wie die Ziel-IP-Adresse und die SNI überprüfen – nicht jedoch den eigentlichen Inhalt, in dem sich Bedrohungen und sensible Daten befinden.

Wird durch die SSL-Entschlüsselung die End-to-End-Verschlüsselung aufgebrochen?

Innerhalb des überwachten Abschnitts ja – das Überwachungsgerät beendet eine TLS-Sitzung und initiiert eine neue, sodass es den Klartext zwischen diesen beiden Abschnitten auslesen kann. Beide Abschnitte bleiben jeweils für sich verschlüsselt, doch die echte End-to-End-Verschlüsselung zwischen Client und Server ist nach der Entschlüsselung nicht mehr gewährleistet.

Was ist ein SSL-Entschlüsselungs-Bypass?

„Decrypt Bypass“ ist eine Richtlinieneinstellung, die bestimmten Datenverkehr von der Entschlüsselung ausnimmt – beispielsweise Ziele der Kategorie „sensibel“ oder Weiterleitungen über Captive Portals, bei denen lediglich eine ausreichende Sichtbarkeit erforderlich ist, um eine Anmeldeseite anzuzeigen. Damit wird ein Ausgleich zwischen dem Umfang der Überprüfung einerseits und Bedenken hinsichtlich Datenschutz, Compliance und Kompatibilität andererseits geschaffen.

Ist die SSL-Entschlüsselung dasselbe wie ein Man-in-the-Middle-Angriff?

Technisch gesehen ja – der Mechanismus entspricht dem einer Man-in-the-Middle-Abhörung. Was ihn jedoch legitim macht, ist die Einwilligung: Die betreibende Organisation kontrolliert die Endgeräte, installiert mit Wissen des Gerätebesitzers ihr eigenes Root-CA-Zertifikat und wendet das Verfahren im Rahmen einer dokumentierten Richtlinie an.

Mehr zum Thema SSL-Entschlüsselung

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit SSL-Entschlüsselung beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.