Efter fem års udvikling præsenteres udgivelsen af GnuPG 2.4.0 (GNU Privacy Guard) værktøjssættet, der er kompatibelt med OpenPGP (RFC-4880) og S/MIME-standarder og giver værktøjer til datakryptering, arbejde med elektroniske signaturer, nøgle administration og adgang til offentlige lagernøgler.
GnuPG 2.4.0 er placeret som den første udgivelse af en ny stabil gren, som inkorporerer ændringer akkumuleret under forberedelsen af 2.3.x udgivelser. Afdeling 2.2 er blevet henvist til den gamle staldafdeling, som vil blive understøttet frem til udgangen af 2024. GnuPG 1.4-grenen vedligeholdes fortsat som en klassisk serie, der bruger minimale ressourcer, er velegnet til indlejrede systemer og er kompatibel med ældre krypteringsalgoritmer.
Nøgleændringer i GnuPG 2.4 sammenlignet med den tidligere stabile gren 2.2:
- En baggrundsproces er blevet tilføjet for at implementere en nøgledatabase, ved at bruge SQLite DBMS til lagring og demonstrere en væsentlig hurtigere søgning efter nøgler. For at aktivere det nye lager skal du aktivere "use-keyboxd"-indstillingen i common.conf.
- Tilføjet tpm2d-baggrundsproces for at tillade, at TPM 2.0-chips bruges til at beskytte private nøgler og udføre kryptering eller digital signatur på TPM-modulsiden.
- Der er tilføjet et nyt gpg-kortværktøj, som kan bruges som en fleksibel grænseflade til alle understøttede smartkorttyper.
- Tilføjet nyt gpg-auth-værktøj til godkendelse.
- Tilføjet en ny fælles konfigurationsfil, common.conf, som bruges til at aktivere keyboxd-baggrundsprocessen uden at tilføje indstillinger til gpg.conf og gpgsm.conf separat.
- Der tilbydes understøttelse af den femte version af nøgler og digitale signaturer, som bruger SHA256-algoritmen i stedet for SHA1.
- Standardalgoritmerne for offentlige nøgler er ed25519 og cv25519.
- Tilføjet understøttelse af AEAD-blokkrypteringstilstande OCB og EAX.
- Tilføjet understøttelse af X448 elliptiske kurver (ed448, cv448).
- Tilladt at bruge gruppenavne i nøglelister.
- Tilføjet "--chuid" mulighed til gpg, gpgsm, gpgconf, gpg-card og gpg-connect-agent for at ændre bruger-id'et.
- På Windows-platformen er fuld Unicode-understøttelse implementeret på kommandolinjen.
- Tilføjet byggemulighed "--with-tss" for at vælge TSS-biblioteket.
- gpgsm tilføjer grundlæggende ECC-understøttelse og muligheden for at oprette EdDSA-certifikater. Tilføjet understøttelse til dekryptering af data krypteret ved hjælp af en adgangskode. Tilføjet understøttelse af AES-GCM-dekryptering. Tilføjet nye muligheder "--ldapserver" og "--show-certs".
- Agenten tillader brugen af "Label:"-værdien i nøglefilen til at konfigurere PIN-prompten. Implementeret understøttelse af ssh-agent-udvidelser til miljøvariabler. Tilføjet Win32-OpenSSH-emulering via gpg-agent. For at oprette fingeraftryk af SSH-nøgler bruges SHA-256-algoritmen som standard. Tilføjet "--pinentry-formatted-passphrase" og "--check-sym-passphrase-pattern" muligheder.
- Scd har forbedret understøttelse af arbejde med flere kortlæsere og tokens. Muligheden for at bruge flere applikationer med et specifikt chipkort er blevet implementeret. Tilføjet understøttelse af PIV-kort, Telesec Signature Cards v2.0 og Rohde&Schwarz Cybersecurity. Tilføjet nye muligheder "--applikationsprioritet" og "--pcsc-delt".
- Indstillingen "--show-configs" er blevet tilføjet til gpgconf-værktøjet.
- Ændringer i gpg:
- Tilføjet parameter "--list-filter" til selektiv generering af en liste af nøgler, for eksempel "gpg -k --list-filter 'select=revoked-f && sub/algostr=ed25519′".
- Tilføjet nye kommandoer og muligheder: "--quick-update-pref", "show-pref", "show-pref-verbose", "-export-filter export-revocs", "-full-timestrings", "-min - rsa-length", "--forbid-gen-key", "--override-compliance-check", "--force-sign-key" og "--no-auto-trust-new-key".
- Tilføjet support til import af tilpassede certifikattilbagekaldelseslister.
- Verifikation af digitale signaturer er blevet fremskyndet 10 gange eller mere.
- Bekræftelsesresultaterne afhænger nu af "--sender"-indstillingen og id'et for signaturskaberen.
- Tilføjet muligheden for at eksportere Ed448-nøgler til SSH.
- Kun OCB-tilstand er tilladt for AEAD-kryptering.
- Dekryptering uden en offentlig nøgle er tilladt, hvis der er indsat et smartkort.
- For ed448 og cv448 algoritmerne er oprettelsen af nøgler til den femte version nu tvangsaktiveret
- Når du importerer fra en LDAP-server, er muligheden for kun sig selv deaktiveret som standard.
- gpg bruger ikke længere 64-bit blokstørrelsesalgoritmer til kryptering. Brugen af 3DES er forbudt, og AES erklæres som den mindste understøttede algoritme. For at deaktivere begrænsningen kan du bruge muligheden "--allow-old-cipher-algos".
- Symcryptrun-værktøjet er blevet fjernet (forældet indpakning oven på det eksterne Chiasmus-værktøj).
- Den ældre metode til registrering af PKA-nøgler er blevet afbrudt, og de tilknyttede muligheder er blevet fjernet.
Kilde: opennet.ru