Enigmail und Hash Algorithmen

    Hallo zusammen,
    Ich habe eine Frage zu Engimail und den Einstellungen der Hash Algorithmen.

    Als bevorzugten Hashalgorithmus habe ich für meinen Key SHA512 eingerichtet, um eine Abwärtskompatibilität zu gewährleisten ist beispielsweise SHA1 meinerseits ebenfalls akzeptiert, aber nicht bevorzugt.

    Nun stoße ich bei den Einstellungen in Enigmail auf ein Problem. Dort kann ich den Hash Algorithmus auswählen. Er scheint mir dann fix zu sein. Wie verfahre ich, wenn ich dort beispielsweise SHA512 einstelle, aber mein Gegenüber für sich lediglich nur SHA1 akzeptiert? Ich könnte auch in Enigmail SHA1 einstelen, doch wenn mein Gegenüber SHA512 bevorzugt, was mein Key ja auch unterstützen würde, passt es wieder nicht.

    Ich hoffe ich konnte es so beschreiben das ihr mich versteht.
    Schon einmal danke für euere Antworten,
    Sven_ger

    Hi Sven,

    ich kann dir leider keine Verbindliche Aussage für GnuPG und Enigmail geben, da ich, wie du unten sehen kannst, S/MIME bevorzuge.

    Also nur einige Bemerkungen allgemeiner Art zur elektronischen Signatur.
    Ich glaube nämlich, dass du hier etwas "voreilenden Gehorsam" betreibst.
    Gegenwärtig lassen sowohl die Empfehlungen des BSI (für Produkte, welche mit eingestuften Informationen arbeiten) als auch die Auflagen der Bundesnetzagentur für qualifizierte (!) Signaturen für die nächsten Jahre noch SHA1 als Algorithmus zu. Und die Anforderungen an qualifizierte Signaturen sind jenseits von dem, was du dir vorstellen kannst.
    Sicherlich hast du gelesen, dass Chinesische Wissenschaftler einen erfolgreichen Angriff auf SHA1 gefahren haben. Das klingt erst einmal nach "totaler Unsicherheit". Aber was verstehen wir denn in diesem Fall unter "erfolgreich"? Es wurde bewiesen, dass es unter bestimmten Bedingungen und mit bestimmten Methoden möglich ist, die Anzahl der Fehlversuche um eine Zehnerpotenz zu verringern, um eine Datei mit dem gleichen Hashwert zu produzieren. Das heißt aber noch lange nicht, dass dieses Ziel bereits erreicht ist bzw. dass man dafür schon eine Lösung hätte.
    Und eine derart produzierte Datei bedeutet auch keinesfalls, dass es sich um eine "sinnvolle" Datei handelt. Das Ergebnis wäre dann eine mit digitalem Müll gefüllte Datei, die eben nur den gleichen Hashwert (unter SHA1) besitzt. Für jede praktische Anwendung sinnlos - aber laut Signaturgesetz "eindeutig" dem Ersteller der Signatur zuzuordnen und vom ihm nicht mehr abzustreiten. Und in genau diesem Moment nicht mehr als Signatur zu gebrauchen.
    Und genau aus diesem Grund beraten die nationalen Sicherheitsagenturen regelmäßig und geben die abgestimmte Empfehlungen heraus. Und bereits jetzt gibt erste Anwendungen, welche alternative Algorithmen unterstützen (bei weitem noch nicht alle Anwendungen!). Die anderen Anwendungen werden nachziehen - und zu gegebener Zeit wird dann (wohl allmählich, mit dem Auslaufen der Zertifikate) auf neue Algorihtmen migriert.

    Ein Vorpreschen ist imho sowohl nicht erforderlich, als auch ggw. noch von Problemen begleitet.

    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

    Hallo Peter,
    danke für deine sehr lange Antwort.
    Mit den Dingen die du beschreibst hast zu zweifels ohne recht.

    Mein Hintergrund ist neben den bevorzugten Algorithmen auch im Bereich der langen DSA Signierschlüssel zu sehen. Dort müssen 'höhere' Hash Algorithmen verwendet werden. Sprich man muss je nach verwendetem Signierschlüssel in den Enigmail die Einstellungen ändern.

    Grüße,
    Sven