Bundesamt für Sicherheit in der Informationstechnik

BSI-Projekt: Entwicklung einer sicheren Kryptobibliothek

Kryptographische Bibliotheken werden häufig als Kernkomponenten in Sicherheitsanwendungen eingesetzt. Sie sind dort zum Erreichen der Sicherheitsziele von zentraler Bedeutung. In der Umsetzung ist eine Kryptobibliothek jedoch sehr anspruchsvoll und fehlerträchtig, sowohl in der Auswahl geeigneter Verfahren als auch in der Implementierung. So sind in den letzten Jahren regelmäßig schwerwiegende Probleme bei den verbreiteten Kryptobibliotheken (z.B. OpenSSL) aufgetreten, die die Sicherheit der darauf aufbauenden Anwendungen erheblich beeinträchtigen können.

Vor diesem Hintergrund führt das BSI zur Zeit das Projekt "Sichere Implementierung einer allgemeinen Kryptobibliothek" mit dem Auftragnehmer Rohde & Schwarz Cybersecurity GmbH durch. Ziel des Projekts ist die Bereitstellung einer quelloffenen, sicheren, übersichtlichen, kontrollierbaren und gut dokumentierten Kryptobibliothek, die für möglichst viele Einsatzszenarien geeignet ist und auch in Anwendungen mit erhöhtem Sicherheitsbedarf eingesetzt werden kann.

Dafür wurde zunächst eine Sichtung und Analyse bestehender Open Source Kryptobibliotheken durchgeführt, um einen geeigneten Kandidaten für eine Weiterentwicklung zu identifizieren. Auf Basis dieser Analyse wurde die Bibliothek Botan als geeignete Grundlage für die weitere Entwicklung ausgewählt.

In der zweiten Phase des Projekts wurde Botan tiefergehend kryptographisch untersucht und bestehende Mängel wurden behoben. Fehlende Kryptoprimitive und Standards wurden gemäß den Technischen Richtlinien des BSI nachimplementiert, die Testsuite wurde verbessert und eine Testspezifikation erstellt. Außerdem wurde die Resistenz gegen Seitenkanalangriffe durch geeignete Software-Gegenmaßnahmen verbessert und die Möglichkeit zur Einbindung von kryptographischer Spezialhardware geschaffen. Die Dokumentation wurde verbessert und erweitert.

Diese Entwicklungsphase ist seit Anfang 2017 abgeschlossen, so dass heute mit Botan 2.0 eine Kryptobibliothek zur Verfügung steht, die den grundsätzlichen Vorstellungen des BSI entspricht und die zum Einsatz in Sicherheitsprodukten geeignet ist. Zurzeit wird die Botan-Version 2.0.1 empfohlen. Botan steht unter der Simplified BSD Lizenz und kann somit freizügig sowohl für offene als auch für kommerzielle Anwendungen verwendet werden.

Um die Sicherheit und Aktualität der Kryptobibliothek auch für die Zukunft gewährleisten und auf neue wissenschaftliche Entwicklungen, Sicherheitsbedrohungen oder Einsatzszenarien angemessen reagieren zu können, wird die Bibliothek im Auftrag des BSI in den nächsten Jahren weiter gepflegt.

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK