Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

4.8. Die Zertifizierungsrichtlinien 47
Im Anhang K dieses Handbuches ist ein Vorschlag für eine Low-Level UNI-CA-Policy wiedergegeben,
die die in diesem Konzept beschriebenen Anforderungen in entsprechende Regeln umsetzt.
Eine entsprechende Medium-Level Policy könnte darauf aufbauen; in 4.8.16 werden die Punkte
benannt, in denen sie gegenüber dem Low-Level-Policy-Entwurf geändert oder erweitert werden
müßte.
4.8.1 Welche Algorithmen sollen unterstützt werden?
Bei der PGP-Zertifizierung sollten nur RSA-Schlüssel im PGP 2.6-Format unterstützt werden, und
zwar aus folgenden Gründen:
Kompatibilitätsgründe: Mit der Einführung neuer PGP-Versionen können nicht mehr alle
PGP-Anwender gesichert miteinander kommunizieren – zumindest dann nicht, wenn
sie unterschiedliche Verfahren benutzen. Die PGP-Versionen bis PGP 2.6 benutzen RSA-
Verschlüsselung und -Signaturen und MD5 als Hash-Algorithmus. PGP 5 und 6 verwenden
hingegen den Digital Signature Standard (DSS) als Signatur- und Diffie-Hellman/ElGamal
als Verschlüsselungsverfahren.
Im DSS ist – ohne zwingenden Grund – eine maximale Schlüssellänge von 1024 bit festgelegt
worden. Damit kann, wer standardkonform bleiben will, nicht mehr auf längere DSS-
Schlüssel ausweichen, falls Fortschritte in der Rechnerleistung und/oder der Kryptanalyse
1024 bit-DSS-Schlüssel als unsicher erscheinen lassen.
Es steht bislang keine stabile PGP-Version für Unix-Betriebssysteme zur Verfügung, die die
neuen Schlüsselformate unterstützt. Die PGP-Versionen, die dies tun, sind bislang nur für die
„Wintel-“ und die MacOS-Plattformen erhältlich. (Ob die neue Version 6.5.1i die erforderliche
Stabilität aufweist, muß sich im Test und im Betrieb erst noch erweisen.)
Unter http://www.shub-internet.org/why_not_pgp_5.html finden sich weitere
Gründe, die gegen das neue Schlüsselformat bzw. die neuen PGP-Versionen sprechen; eine neutrale
Gegenüberstellung der Pro- und Contra-Argumente bietet [Sim99].
RSA-Signaturen haben gegenüber DSS-Signaturen noch den Vorzug, daß sie sich schneller verifizieren
lassen als beispielsweise DSA-1024 bit-Signaturen. Da eine Signatur nur einmal erzeugt,
aber gerade in Umgebungen mit Zertifizierungsstellen mehrfach verifiziert wird, ist in solchen Umgebungen
RSA vorteilhaft [Wie98].
Ein Risiko bei dieser Entscheidung soll nicht verschwiegen werden: Auf die Message-Digest-
Funktion, die bei den PGP-RSA-Keys verwendet wird (Ronald Rivests MD5 Algorithmus), ist inzwischen
ein leichter kryptanalytischer Schatten gefallen. HANS DOBBERTIN hat gezeigt [Dob96],
daß eines der Design-Ziele, die beim Entwurf von MD5 zugrunde gelegt wurden, verfehlt wurde.
Damit ist das Verfahren noch nicht gebrochen worden, aber sein Ruf ist unter Kryptographen nicht
mehr der Beste.
Ungeachtet dieses einen Nachteils sollte im Interesse der Gewährleistung einer Interoperabilität
auch mit den Anwendern, die mit PGP 2.6 arbeiten, und angesichts der Vorzüge, die das RSA-
Verfahren bietet, bis auf weiteres nur die Zertifizierung von RSA-Schlüsseln angeboten werden.