Enigmail und Hash Algorithmen

Hi Sven,

ich kann dir leider keine Verbindliche Aussage für GnuPG und Enigmail geben, da ich, wie du unten sehen kannst, S/MIME bevorzuge.

Also nur einige Bemerkungen allgemeiner Art zur elektronischen Signatur.
Ich glaube nämlich, dass du hier etwas "voreilenden Gehorsam" betreibst.
Gegenwärtig lassen sowohl die Empfehlungen des BSI (für Produkte, welche mit eingestuften Informationen arbeiten) als auch die Auflagen der Bundesnetzagentur für qualifizierte (!) Signaturen für die nächsten Jahre noch SHA1 als Algorithmus zu. Und die Anforderungen an qualifizierte Signaturen sind jenseits von dem, was du dir vorstellen kannst.
Sicherlich hast du gelesen, dass Chinesische Wissenschaftler einen erfolgreichen Angriff auf SHA1 gefahren haben. Das klingt erst einmal nach "totaler Unsicherheit". Aber was verstehen wir denn in diesem Fall unter "erfolgreich"? Es wurde bewiesen, dass es unter bestimmten Bedingungen und mit bestimmten Methoden möglich ist, die Anzahl der Fehlversuche um eine Zehnerpotenz zu verringern, um eine Datei mit dem gleichen Hashwert zu produzieren. Das heißt aber noch lange nicht, dass dieses Ziel bereits erreicht ist bzw. dass man dafür schon eine Lösung hätte.
Und eine derart produzierte Datei bedeutet auch keinesfalls, dass es sich um eine "sinnvolle" Datei handelt. Das Ergebnis wäre dann eine mit digitalem Müll gefüllte Datei, die eben nur den gleichen Hashwert (unter SHA1) besitzt. Für jede praktische Anwendung sinnlos - aber laut Signaturgesetz "eindeutig" dem Ersteller der Signatur zuzuordnen und vom ihm nicht mehr abzustreiten. Und in genau diesem Moment nicht mehr als Signatur zu gebrauchen.
Und genau aus diesem Grund beraten die nationalen Sicherheitsagenturen regelmäßig und geben die abgestimmte Empfehlungen heraus. Und bereits jetzt gibt erste Anwendungen, welche alternative Algorithmen unterstützen (bei weitem noch nicht alle Anwendungen!). Die anderen Anwendungen werden nachziehen - und zu gegebener Zeit wird dann (wohl allmählich, mit dem Auslaufen der Zertifikate) auf neue Algorihtmen migriert.

Ein Vorpreschen ist imho sowohl nicht erforderlich, als auch ggw. noch von Problemen begleitet.

MfG Peter