TLS 1.3: So funktioniert der sichere Handshake

Beim TLS-1.3-Handshake handeln Client und Server die kryptografischen Parameter aus, vereinbaren Schlüssel, und der Server weist sich mit einem Zertifikat aus – erst danach werden Anwendungsdaten geschützt übertragen. Die Wiederaufnahme einer Sitzung kann spätere Verbindungsaufbauten verkürzen, ändert aber nichts daran, dass Zertifikat und Identität geprüft werden müssen.

Was beim TLS-1.3-Handshake passiert

Während des TLS-1.3-Handshakes handeln Client und Server die kryptografischen Parameter aus und führen die Schlüsselvereinbarung durch. Der Server legt ein Zertifikat vor, anhand dessen der Client Hostnamen und Vertrauenskette prüft. Erst wenn diese Aushandlung gelungen ist, werden Anwendungsdaten geschützt.

So prüfen Sie eine TLS-Verbindung

Prüfen Sie Zertifikat und ausgehandelte TLS-Version für den tatsächlich verwendeten Hostnamen. Schlägt die Verbindung fehl, vergleichen Sie Hostname, Zertifikatskette und die Fehlermeldung des Clients. Ein offener TCP-Port 443 belegt nur, dass der Server per TCP erreichbar ist – nicht, dass der TLS-Handshake gelingt. Die grundlegende Erreichbarkeit des Servers können Sie separat mit der Serverdienst-Prüfung von 2IP testen.

Warum ein offener Port 443 nicht genügt

Technische Referenz: RFC 8446.