Release der Werkzeuge (GNU Privacy Guard), kompatibel mit den Standards von OpenPGP () und S/MIME und bietet Werkzeuge zur Datenverschlüsselung, zur Arbeit mit digitalen Signaturen, zur Verwaltung von Schlüsseln und zum Zugriff auf öffentliche Schlüsselspeicher. Wir erinnern daran, dass die GnuPG 2.2 Reihe als eine sich entwickelnde Version positioniert ist, in der weiterhin neue Funktionen hinzugefügt werden, während in der 2.1 Reihe nur Fehlerbehebungen zugelassen sind.
In der neuen Version wurden Maßnahmen zur Abwehr , die zu einem Einfrieren von GnuPG führen und eine weitere Arbeit bis zur Entfernung des problematischen Zertifikats aus dem lokalen Speicher oder zur Neuerstellung des Zertifikatsspeichers auf Basis überprüfter öffentlicher Schlüssel unmöglich machen. Der hinzugefügte Schutz basiert auf der standardmäßigen vollständigen Ignorierung aller fremden digitalen Signaturen von Zertifikaten, die von Schlüsselservern erhalten werden. Wir weisen darauf hin, dass jeder Benutzer seine digitale Signatur für beliebige Zertifikate auf dem Schlüsselserver hinzufügen kann, was von Angreifern verwendet wird, um für das Zertifikat des Opfers eine riesige Anzahl solcher Signaturen zu erstellen (mehr als hunderttausend), deren Verarbeitung die normale Funktion von GnuPG stört.
Die Ignorierung fremder digitaler Signaturen wird durch die Option „self-sigs-only“ geregelt, die nur die eigenen Signaturen der Ersteller für die Schlüssel zum Hochladen zulässt. Um das alte Verhalten wiederherzustellen, kann in der gpg.conf die Einstellung „keyserver-options no-self-sigs-only,no-import-clean“ hinzugefügt werden. Wenn während des Betriebs festgestellt wird, dass eine Anzahl von Blöcken importiert wird, die zu einer Überfüllung des lokalen Speichers (pubring.kbx) führen könnte, schaltet GnuPG anstelle einer Fehlermeldung automatisch den Modus zur Ignorierung digitaler Signaturen („self-sigs-only,import-clean“) ein.
Zur Aktualisierung von Schlüsseln unter Verwendung des Mechanismus (WKD) Die Option „—locate-external-key“ wurde hinzugefügt, die verwendet werden kann, um ein Zertifikatsspeicher auf der Grundlage verifizierter öffentlicher Schlüssel neu zu erstellen. Bei der Ausführung der Operation „—auto-key-retrieve“ ist der WKD-Mechanismus jetzt bevorzugter als Schlüsselserver. Die Funktionsweise von WKD besteht darin, öffentliche Schlüssel im Web zu platzieren, gekoppelt an die Domain, die in der E-Mail-Adresse angegeben ist. Zum Beispiel kann für die Adresse „test@example.com“ der Schlüssel über den Link „https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfceece9a5594e6039d5a“ abgerufen werden.
Quelle: opennet.ru
