Richard Barnes kümmert sich als Ingenieur bei Mozilla um die Sicherheit. Auf der Entwicklerplattform fordert er nun einen Plan, um HTTP in absehbarer Zeit durch das sichere HTTPS zu ersetzen.
Es gäbe einen ziemlich breiten Konsens, Verschlüsselung im Web voranzutreiben, schreibt Barnes auf der Mailingliste. Er verweist dabei auf Statements der Internet Engineering Task Force (IETF), des Internet Architecture Board (IAB), des World Wide Web Consortium (W3C) und der amerikanischen Regierung.
Der Plan, den Barnes gemeinsam mit Mozilla-Kollege Martin Thomson entworfen hat, besteht aus vier Phasen (Phase 0 bis 3). Seine Annahme würde ein sichtbares Zeichen an die Web Community senden, dass Datenübertragungen in Plaintext der Vergangenheit angehören und zugleich die unsicheren Features von HTTP allmählich ausrangieren. Er soll es weniger attraktiv machen, neue Features für HTTP zu entwickeln und zugleich den Einsatz von HTTPS belohnen.
In Phase 0 gehe es darum, sichere Umgebungen (Privileged Contexts) zu schaffen, was dank der Arbeitsgruppe Web-App-Sec bereits im Gange sei. In Phase 1 könne man ein Datum setzen, ab dem sämtliche neu entwickelten Features sichere Umgebungen voraussetzen. Hier müsse man definieren, was neue Features sind: Geht es nur um neue Web APIs oder auch um CSS-Attribute? Und man müsste über ein Datum entscheiden. Im dritten Schritt sieht der Plan vor, ein weiteres Datum festzulegen, ab dem auch existierende Features eine sichere Umgebung voraussetzen. Hier müssten die Entwickler insbesondere auf die Balance zwischen Sicherheit und Kompatibilität achten. Schließlich würde ab Phase 3 das Web nur noch HTTPS verwenden.
Für die Phasen 0 und 1 sieht Barnes keine größeren Hindernisse in der Umsetzung. Phase 2 verlange hingegen etwas mehr Fingerspitzengefühl und Konsensfindung. Er schlägt vor, die Änderungen in festen, halbjährlichen Intervallen zu veröffentlichen, um ihre Sichtbarkeit zu erhöhen. Man wolle insgesamt lieber alle Features von HTTP nach HTTPS portieren als nur spezielle Funktionen abzusichern. Findet die Idee Unterstützung in der Mozilla-Community, will man die Diskussion mit der breiteren Web-Community fortsetzen, voraussichtlich im W3C.
Eine “Abschaffung von HTTP” entspräche zwar den Idealvorstellungen so manches heutigen Kryptopriesters – tatsächlich aber gibt es (und wird es auch künftig geben) gute Gründe in einer ganzen Reihe an Webapplikationen auf Krypto zu verzichten und/oder anwendungsspezifische Alternativen zu HTTPS einzusetzen.Verschlüsselung bedeutet IMMER ein Mehrbedarf an Ressourcen – vor allem mehr Energieverbrauch und Bedarf nach leistungsfähigerer / neuer Hardware / Technik. Dem gegenüber stehen Anwendungen, bei welchen eine bestimmte Verschlüsselungslösung wie HTTPS keinen signifikanten Mehrwert zu bieten hat bzw. der Nutzen durch die Lasten mehr als aufgezehrt wird.Und nicht zuletzt: HTTPS löst ja lange nicht alle Datenschutz-/sicherheitsprobleme, von denen HTTP… Mehr »
Hinter dem Ansatz von Mozilla steht eine nüchterne Kosten-/Nutzenbewertung auf Basis von Fakten. Neuere Publikationen sehr großer Internetunternehmen zeigen, dass die Belastung der Hardware in der Regel überschätzt wurde/wird. Selbst die großen CDNs befürworten sei kurzem den Einsatz von HTTPS.Höheren Ressourcenverbrauch per se zu verteufeln, bedeutet manchmal auch Stillstand. Die Bewertung erfolgt aus der Perspektive des Betrachters. Nimm den Online-Banking Kunden und du hast wohl eher einen Befürworter von Rechenpower für Verschlüsselung etc.Niemand sprach von Zwang, die Befürworter beabsichtigen Ihren Ansatz so attraktiv wie möglich machen und bevorzugen Konsensfindung innerhalb der Community.Der Verweis auf Datenschutz-Themen hinkt auch, da dieser Ansatz… Mehr »