Po pěti letech vývoje byl uveden do oběhu nástroj GnuPG 2.4.0 (GNU Privacy Guard), který je kompatibilní se standardy OpenPGP (RFC-4880) a S/MIME, a poskytuje nástroje pro šifrování dat, práci s elektronickými podpisy, správu klíčů a přístup k veřejným úložištím klíčů.
GnuPG 2.4.0 je prezentován jako první vydání nové stabilní větve, která zahrnuje změny nahromaděné během příprav vydání 2.3.x. Větev 2.2 byla převedena do kategorie staré stabilní větve, která bude podporována až do konce roku 2024. Větev GnuPG 1.4 bude i nadále podporována jako klasická série, která spotřebovává minimální zdroje, je vhodná pro vestavěné systémy a kompatibilní se zastaralými šifrovacími algoritmy.
Klíčové změny v GnuPG 2.4 oproti předchozí stabilní větvi 2.2:
- Byl přidán background proces s implementací databáze klíčů, který používá pro ukládání DB SQLite a vykazuje výrazně rychlejší vyhledávání klíčů. Pro aktivaci nového úložiště je nutné aktivovat v common.conf možnost „use-keyboxd“.
- Byl přidán background proces tpm2d, který umožňuje používat čipy TPM 2.0 pro ochranu soukromých klíčů a provádění operací šifrování nebo vytváření digitálních podpisů na straně modulu TPM.
- Byl přidán nový nástroj gpg-card, který lze použít jako flexibilní rozhraní pro všechny podporované typy smart karet.
- Byl přidán nový nástroj gpg-auth pro autentizaci.
- Byl přidán nový společný konfigurační soubor common.conf, který je využíván pro aktivaci background procesu keyboxd bez samostatného přidání nastavení do gpg.conf a gpgsm.conf.
- Byla zajištěna podpora páté verze klíčů a digitálních podpisů, ve které se používá algoritmus SHA256 místo SHA1.
- Jako výchozí algoritmy pro veřejné klíče byly nasazeny ed25519 a cv25519.
- Byla přidána podpora pro AEAD režimy blokového šifrování OCB a EAX.
- Byla přidána podpora eliptických křivek X448 (ed448, cv448).
- Bylo povoleno používání názvů skupin v seznamech klíčů.
- V gpg, gpgsm, gpgconf, gpg-card a gpg-connect-agent byla přidána volba „—chuid“ pro změnu identifikátoru uživatele.
- Na platformě Windows byla implementována plná podpora Unicode v příkazovém řádku.
- Byla přidána možnost sestavení „—with-tss“ pro výběr knihovny TSS.
- Byla přidána základní podpora ECC v gpgsm a možnost vytváření certifikátů EdDSA. Byla přidána podpora dešifrování dat zašifrovaných pomocí hesla. Byla přidána podpora dešifrování AES-GCM. Přidány nové možnosti „—ldapserver“ a „—show-certs“.
- V agentu je povoleno používání hodnoty „Label:“ v souboru klíčů pro nastavení vyzvání pro zadání PIN kódu. Byla implementována podpora rozšíření ssh-agent pro proměnné prostředí. Byla přidána emulace Win32-OpenSSH přes gpg-agent. Pro vytváření fingerprintů SSH klíčů je ve výchozím nastavení použit algoritmus SHA-256. Byly přidány volby „—pinentry-formatted-passphrase“ a „—check-sym-passphrase-pattern“.
- Ve scd byla vylepšena podpora pro práci s více čtečkami karet a tokeny. Byla implementována možnost používat více aplikací s určitou smart kartou. Byla přidána podpora pro karty PIV, Telesec Signature Cards v2.0 a Rohde&Schwarz Cybersecurity. Byly přidány nové volby „—application-priority“ a „—pcsc-shared“.
- Do utilit gpgconf byla přidána volba „—show-configs“.
- Změny v gpg:
- Byl přidán parametr „—list-filter“ pro selektivní generování seznamu klíčů, například „gpg -k —list-filter ‘select=revoked-f && sub/algostr=ed25519‘“.
- Byly přidány nové příkazy a volby: „—quick-update-pref“, „show-pref“, „show-pref-verbose“, „—export-filter export-revocs“, „—full-timestrings“, „—min-rsa-length“, „—forbid-gen-key“, „—override-compliance-check“, „—force-sign-key“ a „—no-auto-trust-new-key“.
- Byla přidána podpora pro import libovolných seznamů odvolaných certifikátů.
- Ověření digitálních podpisů bylo zrychleno více než 10krát.
- Výsledky ověření nyní závisí na volbě „—sender“ a identifikátoru tvůrce podpisu.
- Byla přidána možnost exportovat klíče Ed448 pro SSH.
- Povoleno použití pouze režimu OCB při AEAD šifrování.
- Bylo povoleno dešifrování bez veřejného klíče při vložené smart kartě.
- Pro algoritmy ed448 a cv448 je nyní povinně zahrnuto vytváření klíčů páté verze.
- Při importu z serveru LDAP je ve výchozím nastavení zakázáno používání volby self-sigs-only.
- V gpg bylo ukončeno používání algoritmů pro šifrování s velikostí bloku 64 bity. Použití 3DES je zakázáno a za minimálně podporovaný algoritmus byla vyhlášena AES. Pro vypnutí této restrikce lze použít volbu „—allow-old-cipher-algos“.
- Nástroj symcryptrun (zastaralý wrapper nad externím nástrojem Chiasmus) byl odstraněn.
- Podpora zastaralé metody detekce klíčů PKA byla ukončena a s ní i související možnosti.
Zdroj: opennet.ru
