Facebook bietet ab sofort durchgängige HTTPS-Verschlüsselung

Mitglieder von Facebook haben künftig die Möglichkeit, in ihren Sicherheitseinstellungen die Option „Sicheres Browsen (HTTPS)“ zu aktivieren. Die Funktion wird in den kommenden Wochen weltweit ausgerollt. Das Social Network reagiert mit dem Schritt auf Forderungen von Sicherheitsexperten.

Bis dato war nur der erste Log-in-Vorgang verschlüsselt. Eine gesicherte Verbindung ließ sich nur per Firefox-Add-on herstellen.

Mit der Funktion wird jede Sitzung von Ende zu Ende verschlüsselt, wie Security Engineer Alex Rice in einem Blobeitrag schreibt. Facebook empfiehlt, HTTPS zu verwenden, wenn Anwender sich häufig von öffentlich genutzten Computern in das Social Network einwählen. Das Feature lässt sich in den Kontoeinstellungen aktivieren.

Noch würden nicht alle Drittapplikationen HTTPS unterstützen. Auch sei zu bedenken, dass verschlüsselte Seiten langsamer laden als unverschlüsselte, betont Rice. „Die Facebook-Seite eines jeden Mitglieds ist im Grunde einzigartig. Deshalb war es schwierig, die verschiedenen Elemente zusammenzubringen,“ sagte Chief Security Officer Joe Sullivan im Gespräch mit ZDNet. Es sei jedoch eine interessante technische Herausforderung für das Unternehmen, HTTPS als Standard anzubieten.

Während Banken und Webshops seit längerem auf gesicherte Verbindungen setzen, werden sie von anderen Websites nur langsam angewendet – mit einer Ausnahme: Google bot Anwendern seines E-Mail-Dienstes von Anfang an die Möglichkeit, HTTPS zu aktivieren, und setzte die Verschlüsselung vor einem Jahr als Standard. Auch Websuche und Google Docs lassen sich über eine gesicherte Verbindung nutzen.

HTTPS hebelt Browser-Erweiterungen wie Firesheep aus, die Cookie-Daten sammeln. „Wenn man sich auf einer Website einloggt, tut man das im Normalfall mit Nutzernamen und Passwort“, schreibt Programmierer Eric Butler in seinem Blog. „Der Server überprüft dann, ob ein zu den Daten passendes Konto existiert, und antwortet, wenn dem so ist, mit einem Cookie, das für alle folgenden Sitzungen verwendet wird.“ Und sich dementsprechend leicht abfangen lässt.

Laut der Electronic Frontier Foundation (EFF) ist eine Website trotz HTTPS allerdings erst dann vollständig verschlüsselt, wenn die Adressleiste von Firefox ihre Farbe ändert und in der rechten oberen Ecke ein Schlosssymbol erscheint.