Blog · Grundlagen ·
Was ist TLS-Terminierung?
TLS-Terminierung heißt der Punkt, an dem eine verschlüsselte Verbindung endet: Dort wird entschlüsselt, geprüft und weitergeleitet, meist neu verschlüsselt. Wer terminiert, sieht alles: Anmeldungen, Formulare, Cookies.
Wie eine Anfrage läuft
Der Browser verschlüsselt und sendet; am Edge endet die Verschlüsselung. Dort liest der Reverse Proxy die Anfrage, prüft sie nach Regeln, wählt den Ursprung und sendet sie neu verschlüsselt weiter. Die Antwort nimmt den umgekehrten Weg. Zwischen den beiden verschlüsselten Abschnitten liegt die Anfrage im Klartext vor: lesbar für den, der die Stelle betreibt.
Der Ort dieser Stelle ist der Edge der Anwendung: die erste Station hinter dem Nutzer, die letzte vor dem Ursprung. Alles, was dort entschieden wird, Routing, Prüfung, Zwischenspeicher, setzt die Einsicht voraus.
Warum überhaupt terminieren?
Weil Schutz Einsicht braucht: Eine Firewall, die nichts lesen darf, kann nichts prüfen; ein Router, der den Hostnamen nicht kennt, kann nicht wählen; ein Speicher, der die Antwort nicht sieht, kann nichts zwischenlagern. Terminierung ist der Preis jeder Entscheidung am Edge.
Die Alternative heißt Durchleitung: Der Verkehr wird nach Servername weitergereicht, ohne je entschlüsselt zu werden. Sie sieht nichts und schützt nichts, ein blinder Weichensteller. Zwischen voller Einsicht und keiner gibt es nichts; nur die Stelle lässt sich wählen.
Wer sieht was?
Der Nutzer sieht seine eigene Anfrage, der Ursprungsserver sieht sie nach der Weiterleitung erneut. Das Netz dazwischen sieht nur Chiffre, solange beide Abschnitte verschlüsselt sind. Und die Stelle in der Mitte sieht alles, im Klartext und im Ganzen. Genau deshalb ist sie der Punkt, an dem Vertrauen entschieden wird, nicht die Stärke des Algorithmus.
Warum der Ort zählt
Die Stelle steht irgendwo: in einem Rechenzentrum, unter einem Recht, in den Händen eines Betreibers. Wer sie führt, sieht die Anfragen Ihrer Nutzer und geht in Ihre Lieferkettenbewertung ein. Steht sie bei einem US-Anbieter, gilt der CLOUD Act, auch auf europäischem Boden. Der Ort der Terminierung ist darum keine Nebensache der Architektur, sondern eine ihrer ersten Fragen.
TLS-Terminierung bei obhut
Der TLS-Proxy von obhut gehört zum Angebot: Der Edge terminiert TLS und leitet jede Anfrage an den Ursprungsserver ihres Hostnamens. Die Zertifikate stellt die Plattform über ACME aus, ihre Schlüssel bleiben ab der Ausstellung versiegelt. Und fällt die Steuerungsebene aus, läuft der Verkehr weiter: Jeder Knoten hält seine Konfiguration im eigenen Speicher.
Häufige Fragen
Ist meine Verbindung unsicher, wenn TLS terminiert wird? Nein, aber sie ist abschnittsweise verschlüsselt: Browser zu Edge und Edge zu Ursprung sind je für sich geschützt. Dazwischen liegt die Anfrage im Klartext vor, beim Betreiber des Edge.
Was ist der Unterschied zu Ende-zu-Ende-Verschlüsselung? Bei Ende-zu-Ende kennt nur der Empfänger den Schlüssel. Bei terminiertem TLS kennt ihn auch die Stelle in der Mitte. Wer was kennen darf, ist eine Entscheidung über Vertrauen, nicht über Technik.
Kann man Prüfung ohne Terminierung bekommen? Kaum: Wer prüfen will, muss lesen. Die Alternative heißt Durchleitung nach Servername, ganz ohne Einsicht, und leistet dafür auch keinen Schutz. Dazwischen gibt es nichts.