Server Name Indication

Server Name Indication ist eine Erweiterung zur Verschlüsselung der Datenübertragung im Internet mit Transport Layer Security (TLS). Sie ermöglicht es, mehrere verschlüsselte Internetangebote mit unterschiedlichen Domains unter nur einer Internetadresse (IP) zu verwalten.

Das Verfahren

Um die Authentizität einer Webseite im Internet zu überprüfen, verwendet man in der Regel digitale Zertifikate. Da der verschlüsselte Verbindungsaufbau zum Server bereits stattfindet, bevor die angefragte URL übertragen wird, ist es mit TLS 1.0/SSL-Verschlüsselung nicht möglich, mehrere Domains unter einer IP-Adresse zu nutzen (sogenanntes Virtual Hosting). Grund dafür ist, dass der Server nicht weiß, welches Zertifikat, das immer nur für eine Domain gilt, er benutzen muss. Bei der Definition von SSL/TLS wurde die Möglichkeit von Virtual Hosting nicht vorgesehen.

Im erweiterten SNI-Verfahren wird die Domain in dem sogenannten server_name-Parameter bereits beim Verbindungsaufbau übergeben, sodass der Server das passende Zertifikat auswählen und beim TLS-Handshake verwenden kann.

Die 2003 definierte Erweiterung (RFC 3546 3.1) ermöglicht es so, die begrenzte Anzahl von IPv4-Adressen besser auszunutzen.

Unterstützte Software

Browser

SNI wird von folgenden Browsern unterstützt:

• Mozilla Firefox 2.0 und neuer
• Opera 8.0 und später (TLS 1.1 muss aktiviert sein)
• Internet Explorer ab Version 7 (ab Windows Vista), Internet Explorer 8 unter Windows XP wird nicht unterstützt
• Google Chrome
• Safari 3.0 und später (ab OS X 10.5.6, ab Windows Vista)

Server

• Apache 2.2.12 oder später mit mod_ssl, OpenSSL ≧ 0.9.8f^[1]
• Apache Backport des SNI-Patches nach 2.0.63/win32 mit mod_ssl ^[2]
• Cherokee mit TLS-Unterstützung
• lighttpd ab 1.4.24^[3], vorherige Versionen mit SNI-Patch ^[4]
• Nginx mit OpenSSL-SNI-Unterstützung
• LiteSpeed 4.1.3

Quellen

1. ↑ http://wiki.apache.org/httpd/NameBasedSSLVHostsWithSNI
2. ↑ http://wap.ecw.de/archives/1218
3. ↑ http://www.lighttpd.net/2009/10/25/1-4-24-now-with-tls-sni-and-money-back-guarantee
4. ↑ #386 (TLS servername extension (SNI) for namebased TLS-vhosts)

Weblinks

• Browsertest für SNI