Zusammenfassung

  • Netscape präsentierte SSL im Dezember 1994 als Bestandteil seines Commerce Servers; eine spätere Technikgeschichte berichtet, dass Navigator 1.0 SSL 2.0 unterstützte.
  • SSL 3.0 war im November 1996 noch ein abgelaufener IETF-Internet-Draft. Eine stabile historische IETF-Referenz erschien erst 2011 mit RFC 6101.

Der erste Beleg ist kein Standarddokument. Im Dezember 1994 kündigte Netscape Navigator 1.0 und seine Netsite-Serverreihe an. Die damalige Mitteilung beschrieb den Commerce Server als mit Secure Sockets Layer auf Grundlage der RSA-Data-Security-Technik ausgestattet und stellte die Client-Server-Kombination als geeignet für Internetgeschäfte dar. Das ist eine Produkteinführung des Unternehmens, keine unabhängige Zählung der Installationen. Sie zeigt dennoch, dass SSL Teil eines kommerziellen Produkts war, das öffentlich angeboten wurde, bevor eine stabile Normreferenz vorlag.

Eine spätere Geschichte des Netscape-Sicherheitscodes ergänzt eine Versionsangabe, die in der Ankündigung fehlt: Navigator 1.0 unterstützte SSL 2.0, Navigator 2.0 ergänzte SSL 3.0. Derselbe Bericht sagt, dass der Sicherheitscode auch für Netscape-2.0-Server übernommen wurde. Das ist eine technische Rückschau aus erster Hand, keine vollständige Versandstatistik; sie ergänzt die datierte Produkteinführung, ersetzt sie aber nicht.

Die Unterlagen von 1995 zeigen den Schritt zu einer öffentlichen technischen Beschreibung. Eine archivierte Kopie führt „The SSL Protocol“ von Kipp Hickman und Taher Elgamal als Internet-Draft vom Juni 1995. Ein bei Mozilla archivierter Entwurf vom Februar erklärt SSL als anwendungsprotokollunabhängige Schicht: Ein Handshake handelt kryptografische Parameter aus und authentifiziert den Server, bevor Anwendungsdaten fließen. Solche Dokumente beschreiben implementierbares Verhalten. Ihr Entwurfsstatus machte sie weder zu einem verabschiedeten Internetstandard noch garantierte er die Interoperabilität aller Implementierungen.

Bei SSL 3.0 wird der Unterschied besonders deutlich. Der IETF Datatracker führt draft-ietf-tls-ssl-version3-00 als abgelaufenen Internet-Draft, zuletzt aktualisiert am 21. November 1996, ohne vorgesehenen RFC-Status. Der Text ist auf den 18. November datiert. 2011 veröffentlichte RFC 6101 diese Fassung als historischen Datensatz. Das Vorwort hält fest, SSL 3.0 sei weit verbreitet implementiert und Grundlage von TLS gewesen, aber vom IETF nie formell veröffentlicht worden, abgesehen von mehreren abgelaufenen Internet-Drafts. Deshalb fehlte eine leicht zitierbare stabile Referenz. RFC 6101 schuf diese historische Referenz; er machte SSL 3.0 nicht rückwirkend zu einer Standards-Track-Spezifikation.

Diese Chronologie bedeutet weder, dass SSL keine Spezifikation hatte, noch dass Standardisierungsgremien fehlten. Die Quellen beantworten unterschiedliche Fragen. Eine Produktankündigung zeigt, was ein Unternehmen anbot; eine Codegeschichte berichtet, was eine Clientfamilie unterstützte; ein Entwurf ermöglicht Prüfung und Änderung eines Protokolls; ein veröffentlichtes RFC bietet einen dauerhaft zitierbaren Text mit klarem Status. Keine Quelle beweist für sich allein eine universelle Verbreitung oder identisches Verhalten.

Adoption ist deshalb kein einzelner Zeitpunkt. Eine funktionierende Implementierung kann Nutzer gewinnen, bevor es eine stabile Spezifikation gibt. Ein Entwurf kann Interoperabilität fördern, ohne sie zu bescheinigen. Ein späteres historisches RFC macht ein altes Protokoll leichter auffindbar, empfiehlt aber weder dessen Sicherheit noch dessen heutigen Einsatz. Bei SSL kamen Produkt, Arbeitsdokument und dauerhafte Referenz zu unterschiedlichen Zeiten.