Efter fem års udvikling præsenteres udgivelsen af værktøjet GnuPG 2.4.0 (GNU Privacy Guard), som er kompatibelt med standarderne OpenPGP (RFC-4880) og S/MIME, og som tilbyder værktøjer til kryptering af data, arbejde med digitale signaturer, nøglehåndtering og adgang til offentlige nøgleskabe.
GnuPG 2.4.0 positioneres som den første udgivelse af den nye stabile gren, som har samlet ændringerne fra forberedelserne til udgivelserne 2.3.x. Version 2.2 er blevet flyttet til den gamle stabile gren, som vil blive understøttet indtil slutningen af 2024. Grenen GnuPG 1.4 fortsætter med at blive vedligeholdt som en klassisk serie, der bruger minimale ressourcer, velegnet til indlejrede systemer og kompatibel med forældede krypteringsalgoritmer.
Nøgleændringer i GnuPG 2.4 sammenlignet med den tidligere stabile gren 2.2:
- En baggrundsproces er tilføjet med en implementering af nøgledatabase, der bruger SQLite til opbevaring og viser betydeligt hurtigere nøgleopslag. For at aktivere det nye lager skal indstillingen „use-keyboxd“ aktiveres i common.conf.
- En baggrundsproces tpm2d er tilføjet, som gør det muligt at bruge TPM 2.0-chips til at beskytte private nøgler og udføre krypterings- eller digitale signaturoperationer på TPM-modulet.
- Et nyt værktøj gpg-card er blevet tilføjet, som kan bruges som et fleksibelt interface for alle understøttede typer smartkort.
- Et nyt værktøj gpg-auth til autentificering er blevet tilføjet.
- En ny fælles konfigurationsfil common.conf er blevet tilføjet, som bruges til at aktivere baggrundsprocessen keyboxd uden separat at tilføje indstillinger til gpg.conf og gpgsm.conf.
- Støtte til femte generation af nøgler og digitale signaturer er blevet sikret, hvor der anvendes SHA256-algoritmen i stedet for SHA1.
- Som standardalgoritmer for offentlige nøgler er ed25519 og cv25519 anvendt.
- Støtte til AEAD-tilstande for blokks kryptering OCB og EAX er blevet tilføjet.
- Støtte til elliptiske kurver X448 (ed448, cv448) er blevet tilføjet.
- Brug af gruppenavne i nøgelister er blevet tilladt.
- I gpg, gpgsm, gpgconf, gpg-card og gpg-connect-agent er muligheden „--chuid“ blevet tilføjet for at ændre brugerkontiens ID.
- På Windows-platformen er der opnået fuld Unicode-understøttelse i kommandolinjen.
- En byggeindstilling „--with-tss“ er blevet tilføjet for at vælge TSS-biblioteket.
- gpgsm har fået grundlæggende støtte til ECC og muligheder for at oprette EdDSA-certifikater. Støtte er tilføjet til dekryptering af data krypteret med et kodeord. AES-GCM dekryptering er blevet tilføjet. Nye muligheder «—ldapserver» og «—show-certs» er blevet tilføjet.
- I agenten er brugen af værdien «Label:» i nøglefilen tilladt for at konfigurere PIN-kode inputprompten. Understøttelse af ssh-agent udvidelser for miljøvariabler er implementeret. Win32-OpenSSH emulering gennem gpg-agent er tilføjet. Standard algoritmen til at skabe fingerprints for SSH-nøgler er nu SHA-256. Ny mulighed «—pinentry-formatted-passphrase» og «—check-sym-passphrase-pattern» er tilføjet.
- I scd er understøttelsen af flere kortlæsere og tokens forbedret. Muligheden for at bruge flere applikationer med et bestemt smartkort er blevet implementeret. Støtte til PIV-kort, Telesec Signature Cards v2.0 og Rohde&Schwarz Cybersecurity er tilføjet. Nye muligheder «—application-priority» og «—pcsc-shared» er blevet tilføjet.
- I gpgconf-værktøjet er mulighed «—show-configs» blevet tilføjet.
- Ændringer i gpg:
- Parameteren «—list-filter» er blevet tilføjet for selektiv oprettelse af en nøgeliste, for eksempel «gpg -k —list-filter ‘select=revoked-f && sub/algostr=ed25519’».
- Nye kommandoer og muligheder er blevet tilføjet: «—quick-update-pref», «show-pref», «show-pref-verbose», «—export-filter export-revocs», «—full-timestrings», «—min-rsa-length», «—forbid-gen-key», «—override-compliance-check», «—force-sign-key» og «—no-auto-trust-new-key».
- Der er tilføjet støtte til import af vilkårlige lister af tilbagekaldte certifikater.
- Kontrol af digitale signaturer er nu mere end 10 gange hurtigere.
- Resultaterne af kontrollen afhænger nu af indstillingen «—sender» og identifikatoren for den, der opretter signaturen.
- Der er tilføjet mulighed for at eksportere Ed448 nøgler til SSH.
- Kun OCB-tilstand er tilladt under AEAD-kryptering.
- Dekryptering uden den offentlige nøgle er tilladt med et indsat smartkort.
- For algoritmerne ed448 og cv448 er oprettelse af nøgler i femte version nu blevet tvunget.
- Ved import fra server LDAP er anvendelsen af indstillingen self-sigs-only som standard deaktiveret.
- I gpg er brugen af algoritmer med en blokstørrelse på 64 bit til kryptering ophørt. 3DES er forbudt, og AES er blevet erklæret som den minimum understøttede algoritme. For at deaktivere begrænsningen kan indstillingen «—allow-old-cipher-algos» bruges.
- Værktøjet symcryptrun (forældet wrapper omkring det eksterne værktøj Chiasmus) er blevet fjernet.
- Stoppen af støtte til den forældede PKA-nøgleopdagelsesmetode og fjernelse af relaterede muligheder.
Kilde: opennet.ru
