Издаване на GnuPG 2.2.17 с промени в контраатаките на ключови сървъри

публикувани освобождаване на инструментариум GnuPG 2.2.17 (GNU Privacy Guard), съвместим със стандартите OpenPGP (RFC 4880) и S/MIME и предоставя помощни програми за криптиране на данни, работа с електронни подписи, управление на ключове и достъп до хранилища на публични ключове. Спомнете си, че клонът GnuPG 2.2 е позициониран като версия за разработка, в която продължават да се добавят нови функции; само коригиращи корекции са разрешени в клон 2.1.

Новият брой предлага мерки за противодействие атака срещу ключови сървъри, което води до увисване на GnuPG и невъзможност за продължаване на работата, докато проблемният сертификат не бъде изтрит от локалното хранилище или хранилището на сертификати бъде създадено отново въз основа на проверени публични ключове. Добавената защита се основава на пълно игнориране по подразбиране на всички цифрови подписи на трети страни на сертификати, получени от сървъри за съхранение на ключове. Нека припомним, че всеки потребител може да добави свой собствен цифров подпис за произволни сертификати към сървъра за съхранение на ключове, който се използва от нападателите за създаване на огромен брой такива подписи (повече от сто хиляди) за сертификата на жертвата, чиято обработка нарушава нормалната работа на GnuPG.

Игнорирането на цифровите подписи на трети страни се регулира от опцията „само за самостоятелни подписи“, която позволява само собствените подписи на създателите да бъдат заредени за ключове. За да възстановите старото поведение, можете да добавите настройката „keyserver-options no-self-sigs-only,no-import-clean“ към gpg.conf. Освен това, ако по време на работа се открие импортиране на няколко блока, което ще доведе до препълване на локалното хранилище (pubring.kbx), вместо да покаже грешка, GnuPG автоматично включва режима на игнориране на цифрови подписи („self-sigs“ -само,внос-чист”).

За да актуализирате ключове с помощта на механизма Директория с уеб ключове (WKD) Добавена е опция „--locate-external-key“, която може да се използва за повторно създаване на хранилището на сертификати въз основа на проверени публични ключове. Когато изпълнявате операцията "--auto-key-retrieve", механизмът WKD вече е предпочитан пред сървърите за ключове. Същността на WKD е да постави публични ключове в мрежата с връзка към домейна, посочен в пощенския адрес. Например за адреса "[имейл защитен]„Ключът може да бъде изтеглен чрез връзката „https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfceece9a5594e6039d5a“.

Източник: opennet.ru