Seine sensiblen Kontodaten in ein HTTP Formular einzugeben, ist in etwa so, als würde man Benutzernamen und Kennwort auf eine Postkarte schreiben und in die Welt hinausschicken, versinnbildlicht Scott Gilbertson den Sicherheitsmangel von HTTP auf arstechnica.com. Nicht erst seit das Netzwerk Sniffing Tool FireSheep sein Unwesen in den WLAN Hotspots dieser Welt treibt, weiß man eigentlich, wie unsicher HTTP Verbindungen gegen das Auslesen von Eingabedaten ist. Trotzdem verwenden selbst die großen Websites, man erinnere nur an Twitters mobile Site, nicht standardmäßig HTTPS.

Tatsache ist, das sei vorangestellt, das Web könnte komplett über HTTPS Verbindungen funktionieren. Mehrere kleinere Problemstellen verhindern aber, dass HTTPS im großen Stil umgesetzt wird. Zum einen und das trifft insbesondere die zahlreichen kleinen Websites, hindern hohe Kosten für Sicherheitszertifikate HTTPS an der Ausbreitung. Seiten wie Facebook, Google oder Twitter mögen damit aus finanzieller Hinsicht keine Probleme haben, für die kleineren Webangebote hingegen bedeutet es schmerzliche Zusatzkosten. Zudem wachsen bei steigendem Traffic auch die Kosten für HTTPS mit und das mehr als bei purem HTTP.

Ein weiterer Grund, der uns vom HTTPS geschützten Web trennt, ist der Verlust der Möglichkeit Inhalte im Cache abzulegen. Mit der weltweit stetig zunehmenden Bandbreite, die jeder Internetnutzer zur Verfügung hat, sollte dieses Problem allerdings marginal sein. Vielmehr trauen sich die großen Anbieter von Webinhalten wohl nicht an HTTPS heran, weil sie damit Performanceeinbußen hinnehmen müssten. Tatsächlich verlängern sich die Latenzzeiten durch die Hinzunahme der SSL-Verschlüsselung ein wenig, aber auch das dürfte, abgewogen mit dem Sicherheitsaspekt eigentlich keine Rolle spielen. Außerdem strebt auch dieser Ausrede der technologische Fortschritt in Form von steigenden Bandbreiten entgegen.

Scott Gilbertson vermutet in seinem Artikel „HTTPS is more secure, so why isn’t the Web using it?“ die Problematik zwischen HTTPS und virtuellen Hosts als Hauptgrund für die nicht flächendeckende Nutzung von HTTPS. Das Problem ist, dass zahlreiche kleine Webseiten auf der Basis virtueller Hosts, angeboten von einem der vielen Web Hosting Providern, entstehen. Problematisch deshalb, weil dadurch tausende Websites mit der gleichen IP auf dem gleichen physikalischen Server liegen. Das funktioniere mit HTTP, mit HTTPS hingegen überhaupt nicht, erklärt Gilbertson. Zwar gebe es mit dem TLS Extensions Protokoll einen Weg beides zu vereinen, doch sei TLS nur teilweise implementiert und könne daher von kleinen virtuell gehosteten Websites nicht genutzt werden.

In Zukunft wird man sich immer eindringlicher die Frage stellen müssen, wie man zwischen den beiden kritischen Größen Geschwindigkeit und Sicherheit die Prioritäten setzten möchte. Offensichtlich wäre ein Web, basierend auf purem HTTPS, möglich. Es darf eigentlich nicht mehr lange dauern, bis auch die letzten kleinen Hindernisse aus dem Weg geräumt sind.

Bildnachweis für die Newsübersicht: Foto: Mirko Macari, Flickr.com. Lizenz: CC BY 2.0