Verwendung kryptographischer Algorithmen in der ... - Gematik

Verwendung kryptographischer Algorithmen in der
Telematikinfrastruktur
Tabelle 9: Algorithmen für X.509-Identitäten zur IPSec Authentifizierung
Algorithmen
Typ
Algorithmus
Schlüssel
länge
2008 2009 2010 2011 2012 2013
Verwendung
der Schlüssel
Signatur des
Endnutzer- und
CA-Zertifikates
Signatur der
OCSP
Response
Signatur des
OCSP
Responder
Zertifikates
RSA
sha1withRSAEncryption
(OID 1.2.840.113549.1.1.5)
sha256withRSAEncryption
(OID 1.2.840.113549.1.1.11)
sha1withRSAEncryption
(OID 1.2.840.113549.1.1.5)
sha1withRSAEncryption
(OID 1.2.840.113549.1.1.5)
1024 A,V A,V A,V A,V A,V A,V
2048 O O O O O O
1024 A,V A,V A,V A,V A,V A,V
2048 O O O O O O
1024 O O O O O O
2048 O O O O O O
1024 A,V A,V A,V A,V A,V A,V
1024 A,V A,V A,V A,V A,V A,V
Alle Komponenten, die IPSec verwenden, MÜSSEN Identitäten, die mit „A,V
„angegebenen sind, unterstützen und eine Identität dieses Typs besitzen. Dies ist
notwendig um sicherzustellen, dass im Rahmen von Handshakes immer ein durch beide
Komponenten unterstütztes Verfahren als „kleinster gemeinsamer Nenner“ zur Verfügung
steht. Zusätzlich KANN eine zweite Identität für die optionalen Algorithmen vorhanden
sein. Sofern sich im Rahmen des Verbindungsaufbaus eine der optionalen Identitäten als
interoperabel rausstellt, so kann diese Identität für den Verbindungsaufbau genutzt
werden. Sollte dies nicht der Fall sein, so steht immer der Verbindungsaufbau über die
mittels „A,V“ angegebene Identitäten zur Verfügung.
Die Lebensdauer der Schlüssel und somit die in einem Zertifikat angegebene
Gültigkeitsdauer SOLL gemäß [gemSiKo#AnhF] maximal 5 Jahre betragen.
Offener Punkt - Die Abstimmung der OCSP Algorithmen mit dem BSI ist noch nicht abgeschlossen
Die ausgewählten Algorithmen wurden bislang nicht durch das BSI bestätigt und können sich potentiell noch
ändern. Eine ausführlichere Bewertung befindet sich in Abschnitt 5.1
5.1.1.6 X.509-Identitäten für fortgeschrittene Signaturen durch TI Komponenten
Identitäten für fortgeschrittene Signaturidentitäten in TI-Komponenten MÜSSEN den in
Tabelle 10 gestellten Anforderungen an Algorithmen genügen.
Tabelle 10: Algorithmen für fortgeschrittene X.509-Signatur-Identitäten für TI Komponenten
Algorithmen
Typ
Algorithmus
Schlüssel
länge
2008 2009 2010 2011 2012 2013
Verwendung
der Schlüssel
RSA
1024 E E E E E E
2048 A,V A,V A,V A,V A,V A,V
Signatur des
Endnutzer- und
CA-Zertifikates
sha1withRSAEncryption 1024 E E E E E E
(OID 1.2.840.113549.1.1.5)
2048 E E E E E E
sha256withRSAEncryption 1024 E E E E E E
gematik_GA_Spezifikation_Kryptographischer_Algorithmen_V1_3_0.doc Seite 24 von 50
Version: 1.3.0 © gematik Stand: 26.03.2008