Cryptography Reference
In-Depth Information
27.4.2
PGP-Zertifikatsformat
Ein PGP-Zertifikat ist aus den vier Pakettypen zusammengesetzt, die wir soeben
betrachtet haben. Wenn wir annehmen, dass es sich um Bobs Zertifikat handelt,
dann hat ein PGP-Zertifikat folgende Bestandteile:
■
Public Key Packet
: Dieses Paket enthält Bobs öffentlichen Schlüssel, eine Ver-
sionsnummer des Paketformats und die Entstehungszeit.
■
User ID Packet
: Dieses Paket enthält eine Kennung, die Bob identifiziert. In
aller Regel ist es Bobs E-Mail-Adresse.
■
Weitere
User ID Packets
(optional): Hier können weitere Kennungen stehen,
etwa weitere E-Mail-Adressen Bobs.
■
Zu jedem User ID Packet gibt es null oder mehr
Signature Packets
mit jeweils
einer digitalen Signatur. Mit diesen Signaturen wird die Zugehörigkeit von
Bobs öffentlichem Schlüssel zur jeweiligen Kennung (und damit zu Bob
selbst) bestätigt. Eine solche Signatur kann von jeder beliebigen Person oder
Organisation (etwa von Alice) angefertigt werden. Gibt es zu einer Kennung
mehrere Signature Packets, dann stammen diese im Normalfall von unter-
schiedlichen Personen.
■
Subkey Packets
(optional): Hier können weitere öffentliche Schlüssel stehen,
die Bob gehören.
■
Pro Subkey Packet ein
Signature Packet
: Diese Signatur bezieht sich auf das
jeweilige Subkey Packet und ist von Bob selbst angefertigt worden. Dazu hat
er den privaten Schlüssel verwendet, der zum öffentlichen Schlüssel im Public
Key Packet gehört.
Eine wichtige Rolle in einem PGP-Zertifikat spielt das Feld
Hashed Subpacket
Data
in den Signature Packets. Dieses Feld wird genutzt, um den Ersteller und
den Erstellungszeitpunkt der Signatur anzugeben. OpenPGP sieht für dieses Feld
außerdem zahlreiche weitere mögliche Inhalte vor, die bei der Nutzung für ein
digitales Zertifikat eine Rolle spielen. Dazu gehören das Ende der Gültigkeits-
dauer der Signatur, eine Policy URL (verweist auf ein Policy-Dokument) und Key
Flags (gibt den Verwendungszweck des Schlüssels an). Mehrere der Zertifikatsfel-
der aus X.509 haben somit eine OpenPGP-Entsprechung in Form eines Hashed-
Subpacket-Data-Eintrags. Keine OpenPGP-Entsprechung hat dagegen das X.509
Policy Mapping (siehe auch Abschnitt 29.4.2). Dafür kann der Signierer eines
PGP-Zertifikats jedoch die Signaturtypen verwenden, die ein Signature Packet
bietet. Wie erwähnt, gibt es 13 verschiedene Signaturtypen, die OpenPGP fest-
legt. Vier davon sind speziell für digitale Zertifikate gedacht (wir nehmen an,
Alice signiert ein Zertifikat mit Bobs Schlüssel):
