SSL verwendet zwei Schlüssel, einen privaten und einen öffentlichen. Es wird nur der öffentliche Schlüssel gesendet, und dieser Schlüssel hat keinen Wert, es sei denn, Sie kennen den privaten.
Jede Partei verschlüsselt die Daten, die sie sendet, mit dem öffentlichen Schlüssel der anderen (das ist etwas komplexer, aber Sie haben die Idee). Nur der Empfänger kann den Verkehr (leicht) dekodieren.
Das bedeutet, dass das Verkehrsschnüffeln nicht so sehr ein Problem darstellt, obwohl Brute-Force-Angriffe natürlich von der verwendeten Schlüsselgröße und dem verwendeten Algorithmus abhängen.
Angriffe auf Menschen in der Mitte, die auf Verkehrsabfangen und Serversubstitution basieren, sind ein höheres Risiko, werden jedoch normalerweise durch die Verwendung vertrauenswürdiger Zertifizierungsstellen verhindert. Es wäre jedoch nicht zulässig, wenn Sie die Warnungen ignorieren, die Ihr Browser anzeigt, wenn ein Serverzertifikat nicht mit dem Namen der Site übereinstimmt oder nicht von einer vertrauenswürdigen Kette von Behörden ausgegeben wurde (z. B. ein selbstsigniertes Zertifikat).