Verfahren und Parametersätze
Der Dienst bietet eine kleine, feste Auswahl an Verfahren an. Diese Seite nennt sie mit ihren Parametersätzen, ordnet sie gegen die Empfehlungen der Technischen Richtlinie BSI TR-02102-1 ein und beschreibt, was der Dienst bewusst nicht tut. Wer den Dienst in einem System einsetzt, das sich an TR-02102-1 messen lassen muss, findet hier die Punkte, die er selbst regeln muss.
Begriffe
- Parametersatz: eine Größenstufe desselben Verfahrens, etwa ML-DSA-65. Größere Stufen bedeuten größere Schlüssel und Signaturen und mehr Sicherheitsreserve.
- Hybrid: ein Post-Quanten-Verfahren und ein klassisches Verfahren werden gemeinsam eingesetzt, so dass ein Angreifer beide brechen muss.
- Hedged: eine ML-DSA-Signatur, in die neben dem Schlüssel frischer Zufall einfließt. Zwei Signaturen derselben Nachricht unterscheiden sich deshalb.
Angebotene Verfahren
| Verfahren | Norm | Parametersätze | Rechnet |
|---|---|---|---|
| AES-256-GCM | NIST SP 800-38D | Schlüssel 32 Byte, Nonce 12 Byte, Tag 16 Byte | OpenSSL |
| ML-DSA | FIPS 204 | ML-DSA-44, ML-DSA-65, ML-DSA-87 | OpenSSL |
| ML-KEM | FIPS 203 | ML-KEM-512, ML-KEM-768, ML-KEM-1024 | OpenSSL |
| HKDF-SHA256 | RFC 5869 | Ausgabe bis 1024 Byte (L4Re) | OpenSSL |
| ChaCha20-Poly1305 | RFC 8439 | nur mit Bauoption chacha20 | OpenSSL |
ML-DSA signiert im reinen Modus ohne Kontextzeichenfolge und mit der Voreinstellung von OpenSSL, also hedged. ML-KEM liefert ein gemeinsames Geheimnis von 32 Byte.
Jede Post-Quanten-Operation geht an OpenSSL. Scheitert OpenSSL, scheitert die Anfrage mit einem Fehlercode; der Dienst liefert in keinem Fall ein Ersatzergebnis. Welche OpenSSL-Fassung das voraussetzt, steht unter Voraussetzungen.
ChaCha20-Poly1305 ist nicht nach FIPS 140-3 zugelassen und fehlt in der Voreinstellung. Die Windows-Bauform kennt die Bauoption, bietet aber keine Operation dafür an.
Einordnung gegen BSI TR-02102-1
Die Technische Richtlinie BSI TR-02102-1 in der Fassung 2026-01 empfiehlt für Post-Quanten-Verfahren ML-KEM-768 und ML-KEM-1024, ML-DSA-65 und ML-DSA-87 sowie den Einsatz nur in hybrider Form. Daraus ergeben sich drei Abweichungen, die die anfragende Seite regeln muss:
| Punkt | Dienst heute | Was Sie tun |
|---|---|---|
| ML-DSA-44 und ML-KEM-512 | ohne Einschränkung wählbar | nur ML-DSA-65/-87 und ML-KEM-768/-1024 anfordern |
| Reines Post-Quanten-Verfahren | jede Operation ist rein PQ | das klassische Verfahren selbst ergänzen und die Ergebnisse kombinieren |
| Kombination hybrider Geheimnisse | nicht angeboten | einen Kombinierer verwenden, der Geheimnis, Chiffrat und öffentlichen Schlüssel einbezieht, etwa nach NIST SP 800-227 |
Eine Kombination nur über die beiden Geheimnisse, etwa HKDF über K1 || K2, reicht dafür nicht. Die
HKDF-Operation des Dienstes ist deshalb kein Ersatz für einen hybriden Kombinierer.
Voreinstellungen ohne Angabe
Eine Voreinstellung gibt es an genau einer Stelle: keygen der Windows-Bauform erzeugt für ML-DSA
ohne Stufe ML-DSA-65 und für ML-KEM ohne Stufe ML-KEM-768. Überall sonst muss die Anfrage die Stufe
nennen. Eine unbekannte Stufe weist die Windows-Bauform mit UNSUPPORTED_ALGORITHM ab, die
L4Re-Bauform mit WVDS_ERR_INVALID_HEADER; keine der beiden rechnet dann mit einer anderen Stufe weiter.
Was diese Seite nicht behandelt
- Wie Schlüssel entstehen und wo sie liegen; siehe Schlüssel und ihre Ablage.
- Die Byte-Größen von Schlüsseln, Signaturen und Chiffraten; siehe Binärprotokoll der L4Re-Bauform.