Verschlüsselungsstärke der cert.id

[Schwenn]

Hallo zusammen!

Das es sich auch bei der cert.id um ein Public Key-Verfahren handelt und entsprechende Sicherheit auf dem Zertifikat (des privaten Schlüssel) liegt, habe ich eine Frage bzgl. der Verschlüsselungsstärke:

Gibt seit der Lotus Domino Version 5 stärkere Zertifikate für die cert.id? Wieviele Bits werden für das Zertifikat bei welcher Domino-Version genutzt? Wo kann ich das nachlesen? Am besten für die Domino-Versionen 5, 6 und 7!

Vielen Dank,
Sven

[mcilly]

Hmmm, gute Frage. Das hängt doch bei der Erstellung der ID Files ab, also entweder "Amerika" oder "International".

Soweit ich weiß, supportet die V6 1024-bit RSA key und 128-bit symmetric key für S/MIME and SSL. Für notes IDs k.A.

[Schwenn]

Vielen Dank schon mal

Wie sieht es mit der Verschlüsselung bei Domino 5 aus?

Gibt es evtl. von IBM eine Stellungnahme / Red Book o. ä.?

Gruß,
Sven

[mcilly]

Hier mal eine Seite von IBM mit der Historie der Versionen 1 - 5 und ein paar Schlagwörter dazu. Vielleicht hilfts.

http://www-128.ibm.com/developerworks/lotus/library/ls-security_milestones/

[m3]

Lotus Notes and Domino 8 adds support for 2048-bit keys for users and servers and 4096-bit keys for certifiers.
ftp://ftp.software.ibm.com/software/lotus/lotusweb/product/domino/ND8_Reviewers_Guide.pdf

Key sizes in Notes and Domino 7:

Key	Size
Keys created By Notes and Domino 7
Public and private key size Bulk data key size	1024 bits or 630 bits 128 bits
Keys that can be used by Notes and Domino 7
Public and private key size Bulk data key size	2048 bits, 1024 bits, 630 bits, or 512 bits 128 bits, 64 bits, or 40 bits

Key sizes in Notes and Domino 6.x and 6.5x

Key	Size
Keys created by Notes and Domino 6.x
Public and private key size Bulk data key size	630 bits (North American) or 512 bits (International) 64 bits
Keys that can be used by Notes and Domino 6.x
Public and private key size Bulk data key size	1024 bits, 630 bits, or 512 bits 128 bits (6.04 or later), 64 bits, or 40 bits

Key sizes in Notes and Domino 5

Key	Size
Keys generated by Notes and Domino 5 [/i]
Public and private key size Bulk data key size	630 bits (North American) and 512 bits (International) 64 bits
Keys accepted by Notes and Domino 5
Public and private key size Bulk data key size	760 bits 64 or 40 bits

Aus "Security Considerations in Notes and Domino 7: Making Great Security Easier to Implement, Chapter 5. Enhancements for longer keys in certificates and IDs"

[Schwenn]

Super Danke, genau so etwas habe ich gesucht.

Gibt es nun zufällig auch noch für Lotus Domino 5 entsprechende Informationen? Ich möchte mich darüber informieren inwieweit sich die Sicherheit von Domino 5 auf Domino 7 erhöht hat.

Entspricht eine cert.id, erstellt mit LN5, noch den aktuellen Anforderungen der Sicherheit?

Gruß, Sven

[m3]

512 bit? Nicht wirklich (p.s: Wenn Dich sowas interessiert, dann solltest Du das GANZE Redpaper lesen, auf das ich verlinkt habe.)

On August 22, 1999, a team of scientists from six different countries, led by Herman te Riele of CWI, found the prime factors of a 512-bit number, whose size models 95% of the keys used for protection of electronic commerce on the Internet. This result shows, much earlier than expected at the start of E-commerce, that the popular key-size of 512 bits is no longer safe against even a moderately powerful attacker.

http://www.ercim.org/publication/Ercim_News/enw39/512.html

Arjen Lenstra and Eric Verheul’s methodical estimates give [...] results for the security of 1024-bit RSA keys. In one model, they project that in the year 2009, a machine costing about $250 million could factor a 1024-bit RSA key in a day

http://www.rsa.com/rsalabs/node.asp?id=2004

[Schwenn]

Danke für die Links zu RSA; meine Vermutung wird hierdurch nur bestätigt, dass "alte" IDs unsicher sind.

Dann habe ich jetzt noch eine Grundsätzliche Frage: Wie sieht es bei der Erstellung von User.IDs auf Basis einer alten cert.id (z. B. 512 Bit) aus. Kann für die User.IDs eine höherwertige Verschlüsselung, als für die cert.id ursprünglich genutzt, generiert werden (z. B. 1024 Bit), wenn ein neuerer Domino Server eingesetzt wird? Würde dies überhaupt Sinn machen?

Gruß,
Sven

[m3]

Nein, da im Deutschen nichts Sinn "machen" kann.


Nochmals, wenn Dir/Euch Sicherheit so ein wichtiges Thema ist, dann lies das von mir verlinkte Redpaper.

5.3 ID and key maintenance: Creating new IDs with long keys in Notes and Domino 7
When registering certifiers or users in Notes and Domino 7, you need to choose the length for the public key. The default will be 630 bits, which is compatible with all earlier releases. You can change this to 1024 bits if your environment consists entirely of Notes 6, 6.5, and 7 clients and the same releases for your Domino servers.