Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

6.1. Absehbare technische Entwicklung 127
However, v6.5 will include integration of our PGP VPN client, which will include support of
both PGP and RSA based x509v3 certificates. This will hopefully be available in Q1/Q2 next
year.
Damit gäbe es dann mit X.509 ein einheitliches Zertifikatformat, was die Arbeit von Zertifizierungsstellen
erheblich erleichtern könnte, da dann nicht mehr PGP- und X.509-Zertifizierung separat betrieben
werden müßten.
PGP 6.5 ist mittlerweile verfügbar und unterstützt in seiner VPN-Funktionalität tatsächlich X.509.
Auch wenn sich die Version 7.0 um etwa ein Jahr verzögern dürfte, bleibt doch zu hoffen, daß NAI
seine PGP-Roadmap einhält und in PGP 7.0 volle X.509-Unterstützung realisiert.
Ende 2000 läuft ferner das US-Patent auf den RSA-Algorithmus 4 aus. Damit wird er in wenigen
Monaten lizenzfrei nutzbar sein, was es erleichtern dürfte, ihn als (einen) Standard- oder sogar
Default-Algorithmus in IETF-Standards oder in kommerziellen oder freien Software-Produkten einzusetzen.
– Dies wäre u.U. auch unter dem Aspekt der Absicherung gegen den Ausfall einzelner
Verfahren hilfreich, auf die am Ende des folgenden Abschnittes näher eingegangen wird.
6.1.2 Infrastrukturen, Konzepte
Am einfachsten realisierbar und insofern auch am wahrscheinlichsten dürfte die Kombination und
Integration von Zertifizierungsdiensten mit anderen bereits existierenden Diensten sein. So hilft
z.B. der PathServer von MICHAEL REITER und STUART STUBBLEBINE [RS97b] dabei, Zertifizierungspfade
zum Schlüssel eines Kommunikationspartners im ansonsten eher unstrukturierten PGP
Web-of-Trust zu finden. Diese Suchmöglichkeit ist bisher noch kaum bekannt, und sie wird auch
noch nicht systematisch von anderen Programmen genutzt. Hier liegt noch einiges Entwicklungspotential
brach, insbesondere in Zusammenhang mit komplexeren Verfahren zur Vertrauensbewertung
als den bisher üblichen (siehe auch die Ausführungen zu Trust Metrics im nächsten Absatz).
Ein weiteres Beispiel sind Zeitstempeldienste, wie sie beispielsweise die Zertifizierungsstelle der
Humboldt-Universität zu Berlin bereits für interne Zwecke oder auch der PGP Digital Timestamping
Service von MATTHEW RICHARDSON [Ric97] anbieten und wie sie die PKIX-Arbeitsgruppe
der IETF standardisiert [ACPZ00]. An einer Integration solcher Dienste, die die Zertifizierung von
öffentlichen Schlüsseln gut ergänzen würden, fehlt es bislang; sie könnte die Nutzung aller dieser
Angebote erheblich steigern.
Die heute existierenden oder im Aufbau befindlichen Zertifizierungsinfrastrukturen haben so gut
wie alle einen wesentlichen Punkt gemeinsam: Sie sind in der Regel hierarchisch aufgebaut, und
ein Nutzer ihrer Dienste muß allen übergeordneten oder sogar allen Zertifizierungsstellen vertrauen,
wenn er die von ihnen ausgestellten Zertifikate nutzen will. Bestenfalls hat er die Möglichkeit,
eine Entweder-Oder-Entscheidung zu treffen zwischen „Ja, ich vertraue dieser CA (bedingungslos
und uneingeschränkt)“ und „Nein, in diese CA und ihre Arbeit habe ich kein Vertrauen“. Abstufungen
wie „erscheint mir ziemlich vertrauenswürdig“ oder „scheint meist zuverlässig zu arbeiten“
lassen sich in dem vorherrschenden Zertifizierungsmodell nicht ausdrücken. Zumindest einen kleinen
Schritt weiter geht hier PGP mit den Vertrauensbewertungen, die der Nutzer für andere Personen
4 http://www.patents.ibm.com/details?&pn=US04405829__&s_all=1