LegalizeVerordnung des Bundeskanzlers über elektronische Signaturen (Signaturverordnung - SigV)
des Algorithmus Signatur- zur Verfahren graphi-
Signatur- algorithmus Schlüssel- sche
suite- erzeugung Hash-
Eintrags funktion
```
```
001 rsa MinModLen = rsagen1 emsa- sha1
1020 pkcs1-
v1_5
```
```
002 rsa MinModLen = rsagen1 emsa-pss sha1
1020
```
```
003 rsa MinModLen = rsagen1 emsa- ripemd160
1020 pkcs1-
v1_5
```
```
004 rsa MinModLen = rsagen1 emsa-pss ripemd160
1020
```
```
005 dsa pMinLen = dsagen1 - sha1
1024
qMinLen =
160
```
```
006 ecdsa-Fp qMinLen = ecgen1 - sha1
160
r0Min =
10 hoch 4
MinClass =
200
```
```
007 ecdsa-F2m qMinLen = ecgen2 - sha1
160
r0Min =
10 hoch 4
MinClass =
200
```
```
008 ecgdsa-Fp qMinLen = ecgen1 - sha1
160
r0Min =
10 hoch 4
MinClass =
200
```
```
009 ecgdsa-Fp qMinLen = ecgen1 - ripemd160
160
r0Min =
10 hoch 4
MinClass =
200
```
```
010 ecgdsa-F2m qMinLen = ecgen2 - sha1
160
r0Min =
10 hoch 4
MinClass =
200
```
```
011 ecgdsa-F2m qMinLen = ecgen2 - ripemd160
160
r0Min =
10 hoch 4
MinClass =
200
```
```
Einige der in diesem Anhang gegebenen Algorithmen sind über Objektidentifikatoren registriert. Diese werden als Information in Tabelle 1b wiedergegeben.
Tabelle 1b - Objektidentifikatoren (OID)
```
```
Objekt- OID Bezeichnung in
Kurzbezeichnung diesem Anhang
```
```
rsa { joint-iso-ccitt(2) ds(5) rsa
module(1) algorithm(8)
encryptionAlgorithm(1) 1 }
```
```
sha-1 { iso(1) member-body(2) us(840) rsa, sha1,
WithRSA rsadsi(113549) pkcs(1) emsapkcs, etc.
Encryption pkcs-1(1) 5 }
```
```
id-dsa { iso(1) member-body(2) us(840) dsa
x9-57(10040)x9cm(4)
```
```
id-dsa-with-sha1 { iso(1) member-body(2) us(840) dsa, sha1
x9-57(10040)x9cm(4) 3}
```
```
sha1 { iso(1) identifiedOrganzitaion sha1
(3) oIW(14) oIWSecSig(3) oIWSec
Algorithm(2) 26 }
```
```
ripemd160 { iso(1) identifiedOrganization ripemd160
(3) teletrust(36) algorithm(3)
hashAlgorithm(2) 1 }
```
```
id-ecdsa-with- { iso(1) member-body(2) us(840) ecdsa, sha1
sha1 ansi-X9-62(10045) signatures(4)
1 }
```
```
id-rsassa-pss { iso(1) member-body(2) us(840) emsa-pss
rsadsi(113549) pkcs(1)
pkcs-1(1) 10 }
```
```
Zulässige kryptographische Hashverfahren
Für sichere elektronische Signaturen dürfen nur kollisionsresistente Hashfunktionen eingesetzt werden. Diese Voraussetzung ist erfüllt, wenn es rechnerisch nicht realisierbar ist, zwei Dokumente zu finden, die denselben Hashwert liefern.
Tabelle 2 - Liste der derzeit zulässigen Hashfunktionen
```
```
Kennzahl Kurzbezeichnung
der Hashfunktion der Hashfunktion
```
```
2.01 sha1
```
```
2.02 ripemd160
```
```
```
Zulässige Padding-Verfahren
```
Tabelle 3 - Liste der zulässigen Padding-Verfahren
```
```
Kennzahl Kurzbezeichnung des Erzeugung der Parameter des
des Padding- Füllverfahrens Zufallszahlen Zufallszahlen-
Verfahrens generators
```
```
3.01 emsa-pkcs1-v1_5 - -
```
```
3.02 emsa-pss noch zu noch zu
definieren definieren
```
```
```
Zulässige Signaturalgorithmen
```
Tabelle 4 - Liste der zulässigen Signaturalgorithmen
```
```
Kennzahl Kurzbezeichnung Parameter des Algorithmus zur
des des Signatur- Signatur- Schlüssel- und
Signatur- algorithmus algorithmus Parametererzeugung
algorithmus
```
```
1.01 rsa MinModLen = rsagen1
1020
```
```
1.02 dsa pMinLen = dsagen1
1024
qMinLen =
160
```
```
1.03 ecdsa-Fp qMinLen = ecgen1
160
r0Min =
10 hoch 4
MinClass =
200
```
```
1.04 ecdsa-F2m qMinLen = ecgen2
160
r0Min =
10 hoch 4
MinClass =
200
```
```
1.05 ecgdsa-Fp qMinLen = ecgen1
160
r0Min =
10 hoch 4
MinClass =
200
```
```
1.06 Ecgdsa-F2m qMinLen = ecgen2
160
r0Min =
10 hoch 4
MinClass =
200
```
```
Tabelle 5 - Liste der zulässigen Schlüsselerzeugungsalgorithmen
für
die in Tabelle 4 aufgelisteten Signaturalgorithmen
```
```
Kennzahl Kurzbezeichnung Signatur- Verfahren Parameter des
des des Schlüssel- algorithmus der Zufalls-
Schlüssel- erzeugungs- Zufalls- zahlen-
erzeugungs- algorithmus zahlen- erzeugungs-
algorithmus erzeugung verfahrens
```
```
4.01 rsagen1 rsa trueran Entropy
oder Bits = 128
pseuran or SeedLen
= 128
```
```
4.02 dsagen1 dsa trueran Entropy
oder Bits = 128
pseuran or SeedLen
= 128
```
```
4.03 ecgen1 ecdsa-Fp, trueran Entropy
ecgdsa-Fp oder Bits = 128
pseuran or SeedLen
= 128
```
```
4.04 ecgen2 ecdsa-F2m, trueran Entropy
ecgdsa-F2m oder Bits = 128
pseuran or SeedLen
= 128
```
```
Erläuterungen zu einzelnen Parametern der zulässigen
Signaturalgorithmen
7.1 RSA
Die Sicherheit des RSA-Algorithmus beruht auf der Schwierigkeit, große ganze Zahlen zu faktorisieren. Um die Signaturerstellungsdaten
und Signaturprüfdaten zu erzeugen, sind zufällig und unabhängig zwei
Primzahlen p und q zu erzeugen, wobei die Bitlänge des Moduls n = pq
mindestens MinModLen betragen muss; seine Länge wird auch als ModLen
bezeichnet; Jede Primzahl muss effektiv von EntropyBits Bits tatsächlichem Zufall oder einem Ausgangswert der Länge SeedLen beeinflusst sein. p und q sollten etwa dieselbe Länge aufweisen, z. B. soll ein Bereich wie 0,5 | log tief 2 p - log tief 2 q | 30 festgelegt werden.
7.2 DSA
Die Sicherheit des DSA-Algorithmus beruht auf der Schwierigkeit, den diskreten Logarithmus in der multiplikativen Gruppe eines Primkörpers F tief p zu berechnen.
Die Signaturerstellungsdaten bestehen aus
- den öffentlichen Parametern p, q und g,
- einer zufällig oder pseudozufällig erzeugten ganzen Zahl x, 0 x q, die signatorspezifisch ist, und
- einer zufällig oder pseudozufällig erzeugten ganzen Zahl k, 0 k q, die für jede Signatur neu zu erzeugen ist.
Die Sicherheit des Algorithmus ecdsa-Fp beruht auf der Schwierigkeit, den diskreten Logarithmus über elliptischen Kurven zu
berechnen.
Die öffentlichen Parameter sind wie folgt:
- p eine große Primzahl,
- q eine große Primzahl mit einer Länge von mindestens qMinLen Bits, p (Anm.: Zeichen nicht darstellbar) q;
- E eine elliptische Kurve über dem endlichen Körper F tief p, deren Ordnung durch q teilbar ist, und
- P ein fixer Punkt auf E mit der Ordnung q.
- den öffentlichen Parametern E, q und P;
- einer statistisch einzigartigen und nicht voraussagbaren ganzen Zahl x, 0 x q, die signatorspezifisch ist und
- einer statistisch einzigartigen und nicht voraussagbaren ganzen Zahl k, 0 k q, die für jede Signatur neu zu erzeugen ist.
7.2.2 DSA-Varianten mit elliptischen Kurven basierend auf einer Gruppe E(F tief 2 m)
Die Sicherheit des Algorithmus ecdsa-F2m beruht auf der Schwierigkeit, den diskreten Logarithmus über elliptischen Kurven zu
berechnen.
Die öffentlichen Parameter sind wie folgt:
- m eine Primzahl,
- q eine große Primzahl mit einer Länge von mindestens qMinLen Bits,
- E eine elliptische Kurve über dem endlichen Körper F tief 2 m, deren Ordnung durch q teilbar ist,
- es darf nicht möglich sein, E über F tief 2 zu definieren, und
- P ein fixer Punkt auf E mit der Ordnung q.
- den öffentlichen Parametern E, q und m;
- einer statistisch einzigartigen und nicht voraussagbaren ganzen Zahl x, 0 x q, die signatorspezifisch ist, und
- einer statistisch einzigartigen und nicht voraussagbaren ganzen Zahl k, 0 k q, die für jede Signatur neu zu erzeugen ist.
Der ecgdsa-Fp Algorithmus ist eine Variante des ecdsa-Fp Algorithmus mit modifizierter Gleichung zur Signaturerstellung und modifiziertem Verfahren zur Signaturprüfung. Die Parameter sind dieselben wie für ecdsa-Fp.
7.2.4 EC-GDSA basierend auf einer Gruppe E(F tief 2 m)
Der Algorithmus ecgdsa-F2m ist eine Variante des Algorithmus ecdsa-F2m mit modifizierter Gleichung zur Signaturerstellung und modifiziertem Verfahren zur Signaturprüfung.
Erzeugung von Zufallszahlen
Tabelle 6 – Liste der zulässigen Verfahren zur Erzeugung von
Zufallszahlen
```
```
Kennzahl des Kurzbezeichnung des Parameter der
Zufallsgenerators Zufallgenerators Zufallszahlenerzeugung
```
```
5.01 Trueran EntropyBits
```
```
5.02 Pseuran SeedLen
```
```
5.03 cr_to_X9.30_x SeedLen
```
```
5.04 cr_to_X9.30_k SeedLen
```
```
8.1 Anforderungen an Zufallszahlengeneratoren trueran
Ein physikalischer Zufallszahlengenerator basiert auf einer physikalischen Rauschquelle (Primärrauschen) und einer kryptographischen oder mathematischen Nachbehandlung des Primärrauschens. Das Primärrauschen muss regelmäßig einer geeigneten
statistischen Prüfung unterzogen werden. Der erwartete Aufwand des Erratens eines kryptographischen Schlüssels soll mindestens gleich groß sein, wie der Aufwand des Ratens eines Zufallswerts der Länge EntropyBits.
8.2 Anforderungen an Zufallszahlengeneratoren pseuran
Ein Pseudo-Zufallszahlengenerator muss mit einer echten Zufallszahl initialisiert werden. Der Anfangswert wird als „Seed“ bezeichnet und hat die Länge SeedLen. Die Ausgabe des Generators muss folgenden Anforderungen genügen:
- keine Information hinsichtlich der erzeugten Ausgabebits ist vorab bestimmbar;
- die Kenntnis einer Teilsequenz der Ausgabe erlaubt keinen Rückschluss auf ein verbleibendes Bit mit einer Wahrscheinlichkeit, die sich nicht-vernachlässigbar von Zufall unterscheidet;
- es gibt kein verwendbares Verfahren, um aus der Ausgabe des Generators eine zuvor generierte oder zukünftige Ausgabe, einen internen Status oder den Anfangswert („Seed“) zu erlangen.
Anhang 2
Technische Verfahren und Formate
Technische Verfahren der Aufsichtsstelle
Bei der Aufsichtsstelle ist als Hashverfahren das Verfahren SHA-1 und zur Verschlüsselung des Hashwerts das Verfahren RSA einzusetzen (Hauptsystem). Die Verwendung des Chinese Remainder Theorem (CRT) ist nicht zulässig.
Werden von der Aufsichtsstelle zusätzlich andere Signaturerstellungsdaten eingesetzt (§ 3 Abs. 1 vorletzter Satz), so muss es sich bei den entsprechenden Verfahren zur Verschlüsselung des Hashwerts um solche für sichere elektronische Signaturen handeln.
Hashverfahren für sichere elektronische Signaturen
Folgende Hashverfahren werden als sicher anerkannt:
RIPEMD-160,
Funktion SHA-1.
Diese Hashverfahren sind bis 31. Dezember 2005 für den Einsatz bei elektronischen Signaturen als sicher anzusehen.
Diesen Hashverfahren sind andere Verfahren gleichgestellt, die zumindest die gleiche Sicherheit aufweisen und von einer Bestätigungsstelle als solche anerkannt und veröffentlicht wurden.
Verfahren zur Signaturerstellung (Verschlüsselung des Hashwerts) für sichere elektronische Signaturen
Folgende Verfahren zur Signaturerstellung werden als sicher anerkannt:
RSA,
DSA,
DSA-Varianten, die auf elliptischen Kurven basieren:
- ISO/IEC 14883-3, Annex A.2.2 ("Agnew-Mullin-Vanstone analogue"),
- IEEE-Standard P1363, Abschnitt 5.3.3 ("Nyberg-Rueppel version"),
- IEEE-Standard P1363 [5], Abschnitt 5.3.4 ("DSA version").
Für die Umsetzung sind nach Möglichkeit international anerkannte Methoden zu verwenden.
Die genannten Algorithmen sind bis 31. Dezember 2005 für den Einsatz bei elektronischen Signaturen als sicher anzusehen.
Diesen Verfahren zur Signaturerstellung sind andere Verfahren gleichgestellt, die zumindest die gleiche Sicherheit aufweisen und von einer Bestätigungsstelle als solche anerkannt und veröffentlicht wurden.
Formate für sichere elektronische Signaturen
Die für sichere elektronische Signaturen eingesetzten Formate sollten einem international anerkannten Standard oder einer anerkannten Empfehlung (zB PKCS#7 Cryptographic Message Syntax Standard) entsprechen.
Formate für qualifizierte Zertifikate
Die European Electronic Signatures Standardization Initiative (EESSI) ist derzeit damit beschäftigt, Formate und Normen für die Darstellung qualifizierter Zertifikate sowie für deren Inhalte auszuarbeiten. Vorläufig wird empfohlen, international anerkannte Normungsvorschläge (zB X.509 v3 certificate oder X.509 v2 CRL for use in the Internet) anzuwenden. Die detaillierte Ausprägung des Formats ist im Sicherheits- und Zertifizierungskonzept darzustellen. Zur Beschreibung ist eine Formale Notation (zB CCITT bzw. ITU-T Recommendation X.208: Specification of Abstract Syntax Notation One - ASN.1 - 1988) zu verwenden. Dies gilt auch für die Codierung der Kennzeichnung "qualifiziert" in einem qualifizierten Zertifikat.
Formate für Verzeichnis- und Widerrufsdienste für qualifizierte
Die Verzeichnis- und Widerrufsdienste sollten in einem international anerkannten Format geführt werden. Für den Zugang zu den Verzeichnis- und Widerrufsdiensten werden insbesondere folgende internationale Normen empfohlen:
1988 CCITT (ITU-T) X.500 / ISO IS9594,
RFC 2587 Internet X.509 Public Key Infrastructure LDAPv2 Schema,
RFC 2459 Internet X.509 Public Key Infrastructure Certificate and CRL Profile,
RFC 2589 Lightweight Directory Access Protocol (LDAPv3) Extensions for Dynamic Directory Services.
Dieses Dokument ersetzt nicht die offizielle Publikation im Bundesgesetzblatt. Für eventuelle Ungenauigkeiten bei der Übertragung in dieses Format wird keine Haftung übernommen.
Dieser Text wird zu den eigenen Weiterverwendungsbedingungen von RIS veröffentlicht, nicht unter einer Legalize-Lizenz oder einer Public-Domain-Lizenz.
RIS
CC BY 4.0 (Creative Commons Namensnennung 4.0 International)
Quelle: RIS – Rechtsinformationssystem des Bundes, Bundeskanzleramt der Republik Österreich (https://www.ris.bka.gv.at/). Lizenziert unter CC BY 4.0 (Creative Commons Namensnennung 4.0 International). Aus den Daten können keinerlei Rechtsansprüche abgeleitet werden.