Wie funktioniert TLS/HTTPS?

Question

IT Interview Practice · Accepted Answer

**HTTPS ist einfach HTTP, das innerhalb eines TLS-verschlüsselten Kanals läuft.** TLS (Transport Layer Security) gibt dir drei Garantien: **confidentiality** (Traffic ist verschlüsselt), **integrity** (er kann nicht unbemerkt manipuliert werden) und **authentication** (du sprichst wirklich mit dem im Zertifikat genannten Server). Es wird in einem **handshake** ausgehandelt, bevor irgendein HTTP gesendet wird:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Der clevere Teil ist die Kombination zweier Arten von Krypto. **Asymmetrische** Kryptografie (das Public/Private-Key-Paar des Zertifikats) wird nur kurz genutzt, um *den Server zu authentifizieren und sicher ein shared secret auszuhandeln*. Dieses shared secret keyt dann schnelle **symmetrische** Verschlüsselung (wie AES) für den Großteil der Daten — weil asymmetrische Krypto für jedes Byte viel zu langsam ist.

**Authentication** stützt sich auf die Zertifikatskette: Das Zertifikat des Servers ist von einer **Certificate Authority (CA)** signiert, und dein OS/Browser wird mit einer Liste vertrauenswürdiger CAs ausgeliefert. Ist die Kette gültig und der Name passt, ist Vertrauen etabliert; falls nicht (abgelaufen, self-signed, falscher Host), zeigt der Browser eine Warnung. Das moderne **TLS 1.3** strafft all dies auf einen einzigen round trip (0-RTT bei Resumption) und wirft alte, unsichere Ciphers hinaus.

## Warum es wichtig ist

TLS liegt im Grunde dem gesamten Web-Traffic zugrunde, sodass sein Verständnis Grundvoraussetzung für jede Backend-, Security- oder Infrastruktur-Rolle ist. Interviewer nutzen es, um zu testen, ob du das **hybride Krypto-Modell** erfasst — asymmetrisch, um Vertrauen und einen gemeinsamen Key zu etablieren, symmetrisch für Geschwindigkeit —, ein Muster, das über Sicherheitssysteme hinweg wiederkehrt. Es ist außerdem höchst praktisch: abgelaufene Zertifikate, nicht vertrauenswürdige Ketten und Protokoll-/Cipher-Mismatches sind häufige Produktionsvorfälle, und zu wissen, wie der Handshake und die Zertifikatsvalidierung funktionieren, ist das, was dir erlaubt, sie schnell zu diagnostizieren (z. B. mit `curl -v` oder `openssl s_client`).

Warum es wichtig ist

Ähnliche Fragen