Full paper (pdf) - CDC

Keystore speichern Der KeySharer speichert die abhängigen Keystores intern
zwischen und schreibt sie erst in ihre Dateien zurück, wenn die Methode
store() aufgerufen wird. Der Ausgabestrom, der der store()-Methode übergeben
wird, wird dabei ignoriert. Das Paßwort allerdings wird zum Integritätsschutz
der abhängigen Keystores verwendet.
ks.store(null, password);
5.3.5 Das Key-Escrow-System
Das Key-Escrow-System besteht aus zwei unabhängigen Komponenten. Zum
einen können Schlüsselpaare erzeugt werden, aus denen zum Recovery der private
aus dem öffentlichen Schlüssel berechnet werden kann. Hier kommen die
Verfahren aus Abschnitt 4.3 zum Einsatz. Auf der anderen Seite können private
Schlüssel in verschlüsselten Dateien hinterlegt und so später wiederhergestellt
werden. Der zweite Ansatz ist universell einsetzbar, während der erste nur für
bestimmte Schlüssel geeignet ist.
Wiederherstellbares Schlüsselpaar erzeugen Um ein wiederherstellbares
Schlüsselpaar für RSA oder ElGamal zu erzeugen, werden entsprechende
KeyPairGenerator per JCA angefordert und konfiguriert. Bei der Initialisierung
muß der öffentliche Schlüssel des Recovery-Operators angegeben werden.
Mit diesem werden die Informationen über den privaten Schlüssel dann chiffriert
und in den öffentlichen Schlüssel eingebracht. Es ist nicht notwendig, daß
dieser Schlüssel und das erzeugte Schlüsselpaar dem gleichen Algorithmus angehören.
Außerdem wird die Bitlänge des zu erzeugenden Schlüssels angegeben.
Hierbei ist darauf zu achten, daß sie groß genug ist, um die chiffrierten Daten
unterzubringen (also mindestens so groß wie der Escrow-Schlüssel).
KeyPairGenerator keygen = KeyPairGenerator.getInstance
("RSA", "KeySharingProvider");
keygen.initialize(new EscrowedKeyParameterSpec
(1024, (PublicKey)escrow));
KeyPair pair = keygen.generateKeyPair();
privaten Schlüssel wiederherstellen Für die Schlüsselwiederherstellung
sieht JCA keine Schnittstelle vor. Statt dessen müssen statische Methoden der
entsprechenden KeyPairGenerator-Klassen aufgerufen werden. Dieses wird der
zugehörige öffentliche Schlüssel des gewünschten privaten Schlüssels übergeben
sowie das Escrow- und Recovery-Schlüsselpaar.
PrivateKey recovered = RSAKeyPairGenerator.recover(
(RSAPublicKey)key, (PrivateKey)recovery, (PublicKey)escrow);
privaten Schlüssel im Dateisystem verwahren Die Klasse FileKeyEscrow
speichert die ihr übergebenen Schlüssel als chiffrierte PKCS7-Dateien in einem
Verzeichnis im Dateisystem ab. Die Schlüssel werden dabei durch die Aussteller
und Seriennummern der zugehörigen Zertifikate identifiziert. Sowohl das
70