Po pěti letech vývoje byla vydána sada nástrojů GnuPG 2.4.0 (GNU Privacy Guard), která je kompatibilní se standardy OpenPGP (RFC-4880) a S/MIME a poskytuje nástroje pro šifrování dat, elektronické podpisy, správu klíčů a přístup. na klíče veřejných úložišť.
GnuPG 2.4.0 je umístěno jako první vydání nové stabilní větve, která zahrnuje změny nashromážděné během přípravy vydání 2.3.x. Pobočka 2.2 byla přesunuta do kategorie staré stabilní větve, která bude podporována do konce roku 2024. Větev GnuPG 1.4 je nadále udržována jako klasická řada, která spotřebovává minimální zdroje, je vhodná pro vestavěné systémy a je kompatibilní se staršími šifrovacími algoritmy.
Klíčové změny v GnuPG 2.4 ve srovnání s předchozí stabilní větví 2.2:
- Přidán proces na pozadí s implementací databáze klíčů pomocí SQLite DBMS pro ukládání a demonstrací mnohem rychlejšího vyhledávání klíčů. Chcete-li povolit nové úložiště, musíte aktivovat možnost "use-keyboxd" v common.conf.
- Byl přidán proces tpm2d na pozadí, který umožňuje použití čipů TPM 2.0 k ochraně soukromých klíčů a provádění operací šifrování nebo digitálního podpisu na straně TPM.
- Byla přidána nová utilita gpg-card, kterou lze použít jako flexibilní rozhraní pro všechny podporované typy čipových karet.
- Přidán nový nástroj gpg-auth pro ověřování.
- Byl přidán nový společný konfigurační soubor common.conf, který se používá k povolení procesu keyboxd na pozadí bez samostatného přidávání nastavení do gpg.conf a gpgsm.conf.
- Je poskytována podpora pro pátou verzi klíčů a digitálních podpisů, která používá algoritmus SHA256 namísto SHA1.
- Výchozí algoritmy pro veřejné klíče jsou ed25519 a cv25519.
- Přidána podpora pro režimy blokové šifry AEAD OCB a EAX.
- Přidána podpora pro eliptické křivky X448 (ed448, cv448).
- Použití názvů skupin v seznamech klíčů je povoleno.
- Přidána možnost „--chuid“ do gpg, gpgsm, gpgconf, gpg-card a gpg-connect-agent pro změnu uživatelského ID.
- Platforma Windows má plnou podporu Unicode na příkazovém řádku.
- Přidána možnost sestavení „--with-tss“ pro výběr knihovny TSS.
- gpgsm přidává základní podporu ECC a možnost generovat certifikáty EdDSA. Přidána podpora pro dešifrování dat zašifrovaných heslem. Přidána podpora pro dešifrování AES-GCM. Přidány nové možnosti "--ldapserver" a "--show-certs".
- Agent může použít hodnotu "Label:" v souboru klíčů ke konfiguraci výzvy k zadání PIN. Implementována podpora pro rozšíření ssh-agent pro proměnné prostředí. Přidána emulace Win32-OpenSSH přes gpg-agent. Ve výchozím nastavení se k vytváření otisků klíčů SSH používá algoritmus SHA-256. Přidány možnosti „--pinentry-formatted-passphrase“ a „--check-sym-passphrase-pattern“.
- V scd byla vylepšena podpora více čteček karet a tokenů. Implementována možnost používat více aplikací s konkrétní čipovou kartou. Přidána podpora pro PIV karty, Telesec Signature Cards v2.0 a Rohde&Schwarz Cybersecurity. Přidány nové možnosti "--application-priority" a "--pcsc-shared".
- Do nástroje gpgconf přidána možnost "--show-configs".
- gpg změny:
- Přidán parametr "--list-filter" pro selektivní generování seznamu klíčů, například "gpg -k --list-filter 'select=revoked-f && sub/algostr=ed25519'".
- Přidány nové příkazy a možnosti: "--quick-update-pref", "show-pref", "show-pref-verbose", "--export-filter export-revocs", "--full-timestrings", " --min- rsa-length", "--forbid-gen-key", "--override-compliance-check", "--force-sign-key" a "--no-auto-trust-new" -klíč".
- Přidána podpora pro import vlastních CRL.
- Ověřování digitálních podpisů je 10krát nebo vícekrát rychlejší.
- Výsledky ověření nyní závisí na volbě "--sender" a ID tvůrce podpisu.
- Přidána možnost exportovat klíče Ed448 pro SSH.
- Pro šifrování AEAD je povolen pouze režim OCB.
- Dešifrování bez veřejného klíče je povoleno, pokud je vložena čipová karta.
- Algoritmy ed448 a cv448 jsou nyní nuceny povolit generování klíče verze XNUMX
- Při importu ze serveru LDAP je ve výchozím nastavení zakázána možnost pouze s vlastními podpisy.
- gpg přestal používat 64bitové algoritmy pro šifrování. Použití 3DES je zakázáno a AES je deklarován jako minimální podporovaný algoritmus. K deaktivaci omezení můžete použít volbu "--allow-old-cipher-algos".
- Odstraněna utilita symcryptrun (zastaralá vazba přes externí utilitu Chiasmus).
- Zastaralá metoda zjišťování klíčů PKA byla zastaralá a možnosti s ní spojené byly odebrány.
Zdroj: opennet.ru