Top News
JZLint 2.0: Neues Tool für die Analyse von PQC-Zertifikaten
MTG und Cryspen bringen JZLint 2.0 an den Start. Erweitertes Tool unterstützt bei der Prüfung von Post-Quantum-Zertifikaten und öffentlichen Schlüsseln.
Wir freuen uns, zusammen mit unserem Partner Cryspen die neue Version JZLint 2.0 vorzustellen. Das Software-Tool unterstützt bei der Analyse von Post-Quantum-Zertifikaten und deren öffentlichen Schlüsseln – ein wichtiger Schritt, um die Sicherheit in einer Welt nach dem Quantencomputer zu gewährleisten.
JZLint 2.0 ermöglicht das sogenannte Linting, d. h. die Prüfung von Zertifikaten auf Fehler und Konformität mit relevanten Spezifikationen. Dieses Verfahren ist ein zentraler Bestandteil bei der Ausstellung von digitalen Zertifikaten durch öffentliche Zertifizierungsstellen (Certificate Authorities, CAs), die von gängigen Browsern als vertrauenswürdig eingestuft werden. Zertifikate müssen vor ihrer Ausstellung mit Hilfe von Linting überprüft werden, um die Einhaltung technischer Standards und Sicherheitsanforderungen sicherzustellen.
Die neue Version von JZLint erweitert das Linting auf Zertifikate, die post-quantenkryptografische Algorithmen verwenden. Neben der Überprüfung formaler und technischer Eigenschaften von PQC-Zertifikaten legt das Tool besonderen Fokus auf die mathematische Qualität der enthaltenen öffentlichen Schlüssel. Diese tiefergehende Analyse wird von der Bibliothek libcrux übernommen – einer formal verifizierten, in Rust implementierten kryptografischen Bibliothek, die von Cryspen entwickelt wurde.
Die Bedeutung solcher Tools nimmt im Zuge der laufenden Einführung von PQC-Zertifikaten rasant zu. Erst kürzlich hat das CA/Browser Forum beschlossen, post-quantenkryptografische Algorithmen für Zertifikate zuzulassen, die zur Absicherung der E-Mail-Kommunikation eingesetzt werden (siehe: CAB Forum Ballot SMC-013). Der Einsatz von Analysewerkzeugen wie JZLint in dieser Übergangsphase trägt entscheidend dazu bei, potenzielle Fehler frühzeitig zu erkennen, die Zuverlässigkeit der neuen kryptografischen Verfahren sicherzustellen und deren Akzeptanz zu fördern.
JZLint ist Open Source und steht unter https://github.com/MTG-AG/jzlint zur Verfügung. Das zugehörige Command-Line-Interface (CLI) kann unter https://mvnrepository.com/artifact/de.mtg/jzlint-cli heruntergeladen werden. Die ebenfalls quelloffene Bibliothek libcrux ist unter https://github.com/cryspen/libcrux abrufbar.
Begleitend zur Entwicklung wurde eine wissenschaftliche Studie in Zusammenarbeit mit der Universität Regensburg durchgeführt. Die Publikation ist unter https://eprint.iacr.org/2025/1241 öffentlich einsehbar. Die Ergebnisse wurden zudem auf dem Workshop on Secure Protocol Implementations in the Quantum Era (SPIQE) vorgestellt.