Was ist SNI, und warum ist es für die Überwachung wichtig?

Server Name Indication (SNI) ist ein Feld im TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.-ClientHello, in dem der Client die gewünschte Website nennt, etwa login.example.com, weil sich viele Websites eine IP-Adresse teilen und der Server wissen muss, welches Zertifikat er vorlegen soll. Es wird vor Beginn der Verschlüsselung gesendet, jeder auf dem Weg kann es also lesen. Für die Überwachung ist es eines der nützlichsten Felder im verschlüsselten Verkehr: Es benennt den Dienst hinter einer IP-Adresse und hilft so, einen KI-Assistenten, einen Filesharing-Dienst oder eine bekannte Geschäftsanwendung von einem unbekannten Server zu unterscheiden, ohne Inhalte zu lesen. Die meisten Webfilter und viele Firewalls stützen sich ebenfalls darauf. Zwei Dinge schmälern seinen Wert: Verbindungen direkt zu einer IP-Adresse tragen keinen sinnvollen Namen, und Encrypted Client Hello (ECH) verbirgt den echten Namen hinter einem öffentlichen Vorschaltnamen. Dann zählen DNS-Antworten und die Vorgeschichte jedes Ziels mehr. NetSenX liest den Servernamen aus dem Handshake, wo sein Agent Pakete mitschneidet, unter Linux oder als SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann./TAPTAP: Test Access Point. Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.-Sensor.

← Alle 40 Fragen zu Verschlüsselung und verschlüsselter VerkehrAlle Themen