Verschlüsselung der Verbindung

[tmuecken]

Hallo!

Ich möchte mit meiner Anwendung über eine Internet-Verbindung auf einen SQL-Server zugreifen. Man kann im SQL-Server 2005 ja eine Verschlüsselung der Verbindung erzwingen.
Wenn man nun kein eigenes SSL-Zertifikat zur Verfügung stellt, nimmt der SQL-Server ein Standard-Zertifikat.
Nun meine Frage: Ist die Verschlüsselung mit dem Standard-Zertifikat sicher genug, um vertrauliche Daten zu übertragen?

[Andreas Kosch]

Hallo,

das Prinzip von SSL besteht darin, dass beide Seiten beim Aufbau der Verbindung über den asynchronen Schlüssel des Zertifikats einen synchronen Schlüssel aushandeln und danach alle Datenpakete mit diesem privaten Schlüssel verschlüsselt werden.

Ist die Verschlüsselung mit dem Standard-Zertifikat sicher genug, um vertrauliche Daten zu übertragen?

Die Antwort auf diese Frage hängt davon ab, welcher Zweck erreicht werden soll. Wenn das SSL-Zertifikat unberechtigte Anwender ausschließen soll, muss ein eigenes Zertifikat genutzt werden. Wenn jedoch für beliebige Anwender ein "Man-in-the-Middle-"Angriff behindert werden soll, nachdem die SSL-Verbindung hergestellt wurde, reicht das Standard-Zertifikat aus. Wenn der "Man-in-the-Middle-"Angriff jedoch vor dem Verbindungsaufbau gestartet wird, verliert das Standard-Zertifikat seine beabsichtigte Wirkung (denn in diesem Fall wird der beim Verbindungsaufbau ausgehandelte Schlüssel kompromittiert).