Welche RSA-Schlüssellänge sollte ich für meine SSL-Zertifikate verwenden?

Ich bin gerade dabei, eine CSR zu erstellen, und ich frage mich, welche Länge wohl die beste für meinen RSA-Schlüssel ist.

Natürlich ist 384 wahrscheinlich zu schwach und 16384 ist wahrscheinlich zu langsam.

Gibt es einen Konsens über die Schlüssellänge, die abhängig von der Lebensdauer des Zertifikats verwendet werden sollte?

Bearbeiten: Wie die meisten Leute möchte ich, dass mein Schlüssel einigermaßen stark ist. Ich mache mir keine Sorgen, dass die NSA 2019 meinen Schlüssel brechen könnte. Ich möchte nur wissen, was die beste Vorgehensweise ist, wenn man plant, normale Geschäfte zu machen (zum Beispiel eine E-Commerce-Website).

Ab 2020 sollten RSA-Schlüssel 2048 Bit sein.

1024 Bit

• 1024-Bit-RSA-Zertifikate sind veraltet und werden von Browsern nicht akzeptiert.
• Firefox hat 2014 die Annahme von 1024-Bit-RSA-Zertifikaten eingestellt.
• Die Zertifizierungsstellen haben 2014 oder früher die Lieferung von 1024-Bit-RSA-Zertifikaten eingestellt. Siehe GlobalSign- oder Comodo- Hinweis.
• 1024-Bit-Schlüssel waren veraltet, weil sie in einem kleinen Rechenzentrum (Tausende von CPUs oder Hunderte von GPUs in möglicherweise wenigen Monaten) geknackt werden konnten. Es mag viel erscheinen, aber es war für jede große Organisation oder Regierung gut erreichbar.

2048 Bit

• 2048-Bit-RSA-Zertifikate sind derzeit die akzeptierte Norm.
• Standardbasislinie, die von CA geliefert und von der Software verwendet wird.
• Wird irgendwann auch geknackt. Ich weiß nicht wann, könnte aber Jahrzehnte dauern.
• Das Verdoppeln der Größe erfordert viele, viele Größenordnungen mehr Rechenleistung, um zu knacken. Siehe Frage, wie viel stärker RSA 2048 im Vergleich zu 1024 ist .

4096 Bit

• 4096-Bit-RSA-Zertifikate sind der nächste Schritt
• Weit verbreitet und unterstützt. Alle wichtigen Zertifizierungsstellen können sowohl 2048- als auch 4096-Bit-RSA bereitstellen, einschließlich Verschlüsselung .
• Die Rechenkosten sind nicht linear mit der Schlüsselgröße. 4096 ist nicht doppelt so langsam wie 2048, es ist vielleicht zehnmal langsamer zu verarbeiten. Aktualisieren Sie Zertifikate nicht blind auf 4096 Bit, ohne die Auswirkungen auf die Leistung zu berücksichtigen .
• Das "Web" verbleibt größtenteils auf 2048-Bit-Zertifikaten, da es die Hardwarekosten für 4096-Bit nicht tragen kann. Betrachten Sie große Akteure wie Google, CloudFlare, NetFlix mit immensem Datenverkehr und Hardware-Fußabdruck.

3072 Bits

• 3072 Bits sind keine Sache. Springe direkt zu 4096 Bit.
• Es ist durchaus möglich, 3072-Bit-Kryptografie zu erstellen. Es ist nur so, dass keine Software sie wirklich offiziell implementiert, unterstützt und bewirbt.
• In der Vergangenheit gab es zwischen 2010 und 2015 einen Versuch, 3072 für Anwendungsfälle zu starten, bei denen die zusätzlichen Rechenkosten von 4096 nicht ideal sind. Es ist verblasst, aber es gibt immer noch einige alte Artikel, die die Vorzüge von (schneller) 3072 verbreiten.

Extra

• RSA wurde erstmals 1977 öffentlich beschrieben und ist fast 50 Jahre später immer noch stark. Sie müssen nur die Anzahl der Bits erhöhen, um mit schnelleren Computern Schritt zu halten.
• Es gibt eine andere Methode für die Kryptographie mit öffentlichen Schlüsseln, die auf elliptischen Kurven basiert, siehe ECDSA (1992).
• Es gibt eine große Trennung zwischen der Kapazität eines Benutzers und eines Angreifers. Ein Webserver oder ein mobiler Client verfügt über eine (stromsparende) CPU. Ein Angreifer kann ein ganzes Rechenzentrum haben. Als Referenz hostet ein neu erstelltes AWS-Rechenzentrum etwa 60 000 Server.
• Es ist unglaublich, dass ein einzelnes mobiles Gerät in wenigen Sekunden einige Berechnungen durchführen kann ... von denen Millionen von Computern in ihrem Leben nicht träumen konnten, sie zu erraten.

Da viele Kunden die Einhaltung der kryptografischen NIST-Standards benötigen, verwende ich die Richtlinien in der NIST-Sonderpublikation 800‑57, Empfehlung für die Schlüsselverwaltung, Teil 1, §5.6. Die meisten unserer Anwendungen eignen sich gut für 112 "Bit" Sicherheit, sodass Triple-DES (oder eine kleine Erhöhung bis zu 128-Bit-AES) für symmetrische Chiffren und ein 2048-Bit-Schlüssel für RSA entsprechen. In Tabelle 2 finden Sie eine grobe Äquivalenz.

Gültig oder nicht, die Möglichkeit, sie auf eine NIST-Veröffentlichung zu verweisen, hilft Kunden dabei, sich in Bezug auf Sicherheit besser zu fühlen (wenn sie sich die Mühe machen zu fragen).

Zertifizierungsstellen signieren keine csrs mit einer Größe von weniger als 2048 Bit. Daher sollten Sie Ihre csr auf 2048 Bit generieren.

Im kommenden August wird Microsoft einen Patch für Server 2003/2008, Win7 usw. bereitstellen, für den ein RSA-Schlüssel mit mindestens 1024 Bit erforderlich ist. Sie können also genauso gut damit beginnen, dies zu Ihrem "absoluten Minimum" zu machen.

Bei SSL-Zertifikaten, die auf Websites verwendet werden, ist dieser Text von der Thawte.com-Website (Stand: 22.07.2014) wichtig zu beachten:

Vom CA / B-Forum (Certification Authority / Browser) festgelegte Industriestandards verlangen, dass nach dem 1. Januar 2014 ausgestellte Zertifikate eine Schlüssellänge von mindestens 2048 Bit haben.

Ich musste mehrere neue SSL-Zertifikate erstellen und war mit den obigen Antworten nicht zufrieden, da sie vage oder veraltet wirkten, sodass ich ein wenig grub. Unterm Strich ist die ausgewählte Antwort richtig. Verwenden Sie "2048-Bit-Schlüssel ... länger ist bedeutungslos" .

Durch Erhöhen der Bitlänge auf 4096 wird Ihrem Server eine potenziell bedeutsame Last hinzugefügt (abhängig von Ihrer vorhandenen Last), während im Grunde genommen ein unbedeutendes Sicherheitsupgrade angeboten wird

Wenn Sie in einer Situation sind, in der Sie länger als einen 2048-Bit-Schlüssel benötigen, benötigen Sie keine längere Bitlänge. Sie benötigen einen neuen Algorithmus

Ich denke, 4096 ist für RSA in Ordnung

Überprüfen Sie diesen Link

Das Ende der SHA-1-Signatur ist nichts Neues, aber Google hat den Prozess des Chroms beschleunigt. In den nächsten Wochen sollten Sie die SSL-Zertifikate überprüfen.

Dies kann hilfreich sein

ENISA empfiehlt 15360 Bit. Schauen Sie sich das PDF an (Seite 35)

http://www.enisa.europa.eu/activities/identity-and-trust/library/deliverables/algorithms-key-sizes-and-parameters-report/at_download/fullReport