Dokumentation

Wissen, dass Ihre TLS-Konfiguration aktuelle Richtlinien noch erfüllt

Ein gültiges Zertifikat ist die eine Hälfte von HTTPS. Die andere Hälfte ist, wie der Server es einsetzt: welche TLS-Versionen er akzeptiert, welche Cipher-Suites und Schlüsselaustauschverfahren er anbietet, ob er noch auf Protokolle antwortet, die seit Jahren ausgemustert sind. Nichts davon zeigt das Schloss im Browser, und alles davon ändert sich unbemerkt – ein neuer Load Balancer mit eigenen Voreinstellungen, ein Server-Image, das aus einer älteren Vorlage neu gebaut wurde, ein Bibliotheksupdate, das etwas wieder einschaltet.

Auch die Richtlinien bewegen sich. Eine Konfiguration, die die Ausgabe des Vorjahres erfüllt hat, kann an der diesjährigen scheitern, ohne dass sich am Server etwas geändert hat. Pingsured testet die Konfiguration jeden Tag und sagt Ihnen, wenn sie die Richtlinie, an der Sie sie messen, nicht mehr erfüllt.

Was der tägliche Test untersucht

Einmal am Tag untersucht Pingsured von jedem Standort aus, an dem eine TLS-Prüfung läuft, die Konfiguration des Servers: die TLS-Versionen, die er akzeptiert, die Cipher-Suites und Schlüsselaustauschgruppen, auf die er sich einlässt, Schlüssel und Signatur des Zertifikats und ob er einen herabgestuften Handshake ablehnt. Auf Port 443 liest er außerdem die Header, die HTTPS absichern: Strict-Transport-Security, die Weiterleitung von Port 80 und das Secure-Attribut von Cookies.

Alles, was er findet, steht im Ergebnis der Prüfung, und die Seite zu den TLS-Feststellungen erklärt jede Feststellung und wie man sie auf gängigen Servern behebt.

Die Richtlinie, an der Sie messen

Sie wählen, an welcher veröffentlichten Richtlinie ein Server gemessen wird. Standard ist Mozillas Profil intermediate, das die meisten Konfigurationsgeneratoren erzeugen. Hinzunehmen können Sie:

• BSI TR-02102-2 und TR-02103, die Technischen Richtlinien des Bundes, die die öffentliche Verwaltung in Deutschland häufig von ihren Zulieferern verlangt;
• NIST SP 800-52, die Richtlinie der US-Bundesverwaltung;
• NCSC-NL, die Richtlinien der niederländischen Regierung, die im niederländischen Gesundheits- und Finanzwesen weit verbreitet sind.

Jede Richtlinie ist auf eine genaue Ausgabe festgelegt, und jedes Ergebnis hält die Ausgabe fest, die es beurteilt hat. So lässt sich ein heutiges Ergebnis auch später noch an den Regeln lesen, unter denen es entstanden ist.

Wovon Sie erfahren

Eine Feststellung gegen eine gewählte Richtlinie setzt den Status der Prüfung: standardmäßig eine Warnung, wahlweise einen Fehler oder, wenn Sie es vorziehen, nur einen Vermerk im Ergebnis. Dieser Status erreicht Sie wie jeder andere – per E-Mail, in der App oder per Webhook – über die Abonnements, die ihn einschließen. Feststellungen außerhalb Ihrer gewählten Richtlinien werden trotzdem erfasst, lösen aber nie eine Meldung aus.

Ändert sich das Zertifikat und sinkt mit ihm die Bewertung des Servers, sagt die Meldung zum Zertifikatswechsel das ausdrücklich.

Die TLS-Bewertung

Jedes Ergebnis bewertet die Konfiguration mit einem bis fünf Schlössern, sodass der Zustand eines Servers auf einen Blick zu erkennen ist:

Die Bewertung beschreibt die Konfiguration, nicht die Restlaufzeit des Zertifikats, und bei weniger als fünf Schlössern nennt das Ergebnis die Feststellungen, die eine bessere Bewertung verhindern. Jeder Standort bewertet, was er gesehen hat, und die Prüfung zeigt die niedrigste Bewertung.

Warum Sie Ihre TLS-Konfiguration mit Pingsured prüfen sollten

• Jeden Tag, nicht einmal im Jahr. Eine Konfiguration, die nachlässt, fällt am nächsten Tag auf, nicht erst beim nächsten Penetrationstest.
• An der Richtlinie, nach der Sie gefragt werden. Dieselbe Prüfung beantwortet „Ist das sicher genug für unsere Kunden?“ und „Erfüllt das die BSI-Richtlinie, die unser Vertrag nennt?“.
• Erklärt, nicht nur benotet. Jede Feststellung ist dokumentiert: welche Richtlinie sie zählt, unter welcher Fundstelle und wie man sie behebt.
• Von mehreren Standorten aus. Server hinter einem CDN oder Load Balancer können sich je Region unterscheiden; jeder Standort meldet seine eigene Bewertung.
• In der EU betrieben, von einem deutschen Unternehmen. Die Angaben zu Ihren Servern bleiben in Deutschland und Finnland.

Grenzen, die Sie kennen sollten

• Der Konfigurationstest läuft höchstens einmal am Tag je Server und Standort; eine Änderung zeigt sich also am Tag, nachdem sie vorgenommen wurde. Ablauf und Vertrauen des Zertifikats werden weiterhin bei jedem Lauf geprüft.
• Manche Anforderungen sind von außen nicht zu sehen: vom Client angestoßene Neuverhandlung, Early Data, die Signaturverfahren eines verschlüsselten TLS-1.3-Handshakes und alles im Inneren des Servers. Sie werden nicht beurteilt, und ein Server verliert dafür nichts.
• Die Prüfung misst einen Server an einer Richtlinie. Sie ist keine Zertifizierung und ersetzt kein Audit.