След пет години разработка, GnuPG 2.4.0 (GNU Privacy Guard) беше представен, съвместим със стандартите OpenPGP (RFC-4880) и S/MIME, предоставяйки инструменти за криптиране на данни, работа с електронни подписи, управление на ключове и достъп до публични хранилища на ключове.
GnuPG 2.4.0 се позиционира като първият изход на нова стабилна серия, която обединява промените, натрупани при подготовката на версиите 2.3.x. Серия 2.2 е преместена в категорията стара стабилна серия, която ще бъде поддържана до края на 2024 година. Серия GnuPG 1.4 продължава да се поддържа като класическа серия, консумираща минимални ресурси, подходяща за вградени системи и съвместима с остарели алгоритми за криптиране.
Ключови изменения в GnuPG 2.4 в сравнение с предишната стабилна серия 2.2:
- Добавен е фонов процес с реализирана база данни на ключове, използваща SQLite за съхранение и демонстрираща значително по-бързо търсене на ключове. За активиране на новото хранилище е необходимо да се активира опцията «use-keyboxd» в common.conf.
- Добавен е фонов процес tpm2d, който позволява използването на чипове TPM 2.0 за защита на частните ключове и извършване на операции по криптиране или създаване на цифрови подписи на страната на модула TPM.
- Добавен е нов инструмент gpg-card, който може да се използва като гъвкав интерфейс за всички поддържани типове смарткарти.
- Добавена е нова утилита gpg-auth за аутентификация.
- Добавен е нов общ конфигурационен файл common.conf, който се използва за активиране на фоновия процес keyboxd без отделно добавяне на настройки в gpg.conf и gpgsm.conf.
- Осигурена е поддръжка за петото поколение ключове и цифрови подписи, в което се използва алгоритъм SHA256 вместо SHA1.
- Алгоритмите по подразбиране за отворени ключове са ed25519 и cv25519.
- Добавена е поддръжка на AEAD режимите на блочно криптиране OCB и EAX.
- Добавена е поддръжка за елиптични криви X448 (ed448, cv448).
- Разрешено е използването на имена на групи в списъците с ключове.
- В gpg, gpgsm, gpgconf, gpg-card и gpg-connect-agent е добавена опция '--chuid' за смяна на идентификатора на потребителя.
- На платформата Windows е реализирана пълна поддръжка на Unicode в командния ред.
- Добавена е опция за компилация «—with-tss» за избор на библиотека TSS.
- В gpgsm е добавена основна поддръжка за ECC и възможност за създаване на сертификати EdDSA. Добавена е поддръжка за декриптиране на данни, криптирани с парола. Добавена е поддръжка за декриптиране AES-GCM. Добавени са нови опции «—ldapserver» и «—show-certs».
- В агента разрешено използването на стойността «Label:» в файла с ключове за настройка на поканата за въвеждане на PIN-код. Реализирана е поддръжка на разширения ssh-agent за променливи на средата. Добавена е емулация Win32-OpenSSH чрез gpg-agent. За създаване на отпечатъци на SSH-ключове по подразбиране се използва алгоритъм SHA-256. Добавени са опции «—pinentry-formatted-passphrase» и «—check-sym-passphrase-pattern».
- В scd е подобрена поддръжката за работа с множество кардридери и токени. Реализирана е възможността за използване на множество приложения с определена смарткарта. Добавена е поддръжка на карти PIV, Telesec Signature Cards v2.0 и Rohde&Schwarz Cybersecurity. Добавени са нови опции «—application-priority» и «—pcsc-shared».
- В утилитата gpgconf е добавена опция «—show-configs».
- Промени в gpg:
- Добавен е параметър «—list-filter» за селективно формиране на списък с ключове, например «gpg -k —list-filter ‘select=revoked-f && sub/algostr=ed25519’».
- Добавени са нови команди и опции: «—quick-update-pref», «show-pref», «show-pref-verbose», «—export-filter export-revocs», «—full-timestrings», «—min-rsa-length», «—forbid-gen-key», «—override-compliance-check», «—force-sign-key» и «—no-auto-trust-new-key».
- Добавена е поддръжка за импортиране на произволни списъци на отзовани сертификати.
- Проверка на цифрови подписи е ускорена 10 или повече пъти.
- Резултатите от проверката сега зависят от опцията «—sender» и идентификатора на създателя на подписа.
- Добавена е способност за експортиране на ключове Ed448 за SSH.
- Разрешено е използването само на режим OCB при AEAD-шифриране.
- Разрешено е декодиране без публичен ключ при наличие на поставена смарткарта.
- За алгоритмите ed448 и cv448 сега принудително се включва създаването на ключове от пето поколение.
- При внос от сървър LDAP по подразбиране е деактивирано приложението на опцията self-sigs-only.
- В gpg е прекратено използването на алгоритми за шифриране с размер на блока 64 бита. Използването на 3DES е забранено, а като минимално поддържан алгоритъм е определен AES. За деактивиране на ограничението може да се използва опцията «—allow-old-cipher-algos».
- Деинсталирана е утилитата symcryptrun (остаряла обвивка над външната утилита Chiasmus).
- Поддръжката на остарял метод за откриване на ключове PKA е прекратена и свързаните с него опции са премахнати.
Източник: opennet.ru
