Nach fünfjähriger Entwicklungszeit wird die Veröffentlichung des Toolkits GnuPG 2.4.0 (GNU Privacy Guard) vorgestellt, das mit den Standards OpenPGP (RFC-4880) und S/MIME kompatibel ist und Dienstprogramme für die Datenverschlüsselung, die Arbeit mit elektronischen Signaturen und Schlüssel bereitstellt Verwaltung und Zugriff auf öffentliche Speicherschlüssel.
GnuPG 2.4.0 ist als erste Veröffentlichung eines neuen stabilen Zweigs positioniert, der die während der Vorbereitung der 2.3.x-Versionen gesammelten Änderungen enthält. Zweig 2.2 wurde in den alten Stable-Zweig verbannt, der bis Ende 2024 unterstützt wird. Der GnuPG 1.4-Zweig wird weiterhin als klassische Serie beibehalten, die nur minimale Ressourcen verbraucht, für eingebettete Systeme geeignet ist und mit älteren Verschlüsselungsalgorithmen kompatibel ist.
Wichtige Änderungen in GnuPG 2.4 im Vergleich zum vorherigen stabilen Zweig 2.2:
- Zur Implementierung einer Schlüsseldatenbank wurde ein Hintergrundprozess hinzugefügt, der das SQLite-DBMS zur Speicherung nutzt und eine deutlich schnellere Suche nach Schlüsseln demonstriert. Um das neue Repository zu aktivieren, müssen Sie die Option „use-keyboxd“ in common.conf aktivieren.
- tpm2d-Hintergrundprozess hinzugefügt, um die Verwendung von TPM 2.0-Chips zum Schutz privater Schlüssel und zur Durchführung von Verschlüsselungs- oder digitalen Signaturvorgängen auf der TPM-Modulseite zu ermöglichen.
- Es wurde ein neues GPG-Card-Dienstprogramm hinzugefügt, das als flexible Schnittstelle für alle unterstützten Smartcard-Typen verwendet werden kann.
- Neues gpg-auth-Dienstprogramm zur Authentifizierung hinzugefügt.
- Es wurde eine neue gemeinsame Konfigurationsdatei, common.conf, hinzugefügt, die verwendet wird, um den keyboxd-Hintergrundprozess zu aktivieren, ohne Einstellungen zu gpg.conf und gpgsm.conf separat hinzuzufügen.
- Es wird Unterstützung für die fünfte Version von Schlüsseln und digitalen Signaturen bereitgestellt, die den SHA256-Algorithmus anstelle von SHA1 verwendet.
- Die Standardalgorithmen für öffentliche Schlüssel sind ed25519 und cv25519.
- Unterstützung für die AEAD-Blockverschlüsselungsmodi OCB und EAX hinzugefügt.
- Unterstützung für X448-Ellipsenkurven (ed448, cv448) hinzugefügt.
- Die Verwendung von Gruppennamen in Schlüssellisten ist zulässig.
- Option „--chuid“ zu gpg, gpgsm, gpgconf, gpg-card und gpg-connect-agent hinzugefügt, um die Benutzer-ID zu ändern.
- Auf der Windows-Plattform ist die vollständige Unicode-Unterstützung in der Befehlszeile implementiert.
- Build-Option „--with-tss“ hinzugefügt, um die TSS-Bibliothek auszuwählen.
- gpgsm bietet grundlegende ECC-Unterstützung und die Möglichkeit, EdDSA-Zertifikate zu erstellen. Unterstützung für die Entschlüsselung von mit einem Passwort verschlüsselten Daten hinzugefügt. Unterstützung für AES-GCM-Entschlüsselung hinzugefügt. Neue Optionen „--ldapserver“ und „--show-certs“ hinzugefügt.
- Der Agent ermöglicht die Verwendung des Werts „Label:“ in der Schlüsseldatei zur Konfiguration der PIN-Eingabeaufforderung. Unterstützung für SSH-Agent-Erweiterungen für Umgebungsvariablen implementiert. Win32-OpenSSH-Emulation über gpg-agent hinzugefügt. Zur Erstellung von Fingerabdrücken von SSH-Schlüsseln wird standardmäßig der SHA-256-Algorithmus verwendet. Optionen „--pinentry-formatted-passphrase“ und „--check-sym-passphrase-pattern“ hinzugefügt.
- Scd hat die Unterstützung für die Arbeit mit mehreren Kartenlesern und Token verbessert. Die Möglichkeit, mehrere Anwendungen mit einer bestimmten Smartcard zu nutzen, wurde implementiert. Unterstützung für PIV-Karten, Telesec Signature Cards v2.0 und Rohde&Schwarz Cybersecurity hinzugefügt. Neue Optionen „--application-priority“ und „--pcsc-shared“ hinzugefügt.
- Die Option „--show-configs“ wurde zum Dienstprogramm gpgconf hinzugefügt.
- Änderungen im GPG:
- Parameter „--list-filter“ zum selektiven Generieren einer Liste von Schlüsseln hinzugefügt, zum Beispiel „gpg -k --list-filter 'select=revoked-f && sub/algostr=ed25519′“.
- Neue Befehle und Optionen hinzugefügt: „--quick-update-pref“, „show-pref“, „show-pref-verbose“, „-export-filter export-revocs“, „-full-timestrings“, „-min - rsa-length", "--forbid-gen-key", "--override-compliance-check", "--force-sign-key" und "--no-auto-trust-new-key".
- Unterstützung für den Import benutzerdefinierter Zertifikatssperrlisten hinzugefügt.
- Die Überprüfung digitaler Signaturen wurde um das Zehnfache oder mehr beschleunigt.
- Die Verifizierungsergebnisse hängen nun von der Option „--sender“ und der ID des Signaturerstellers ab.
- Es wurde die Möglichkeit hinzugefügt, Ed448-Schlüssel für SSH zu exportieren.
- Für die AEAD-Verschlüsselung ist nur der OCB-Modus zulässig.
- Bei eingesetzter Smartcard ist eine Entschlüsselung ohne öffentlichen Schlüssel möglich.
- Für die Algorithmen ed448 und cv448 ist die Erstellung von Schlüsseln der fünften Version nun zwangsweise aktiviert
- Beim Importieren von einem LDAP-Server ist die Option „Nur Selbstsignatur“ standardmäßig deaktiviert.
- gpg verwendet für die Verschlüsselung keine 64-Bit-Blockgrößenalgorithmen mehr. Die Verwendung von 3DES ist verboten und AES wird als minimal unterstützter Algorithmus deklariert. Um die Einschränkung zu deaktivieren, können Sie die Option „--allow-old-cipher-algos“ verwenden.
- Das Dienstprogramm symcryptrun wurde entfernt (veralteter Wrapper über dem externen Dienstprogramm Chiasmus).
- Die alte PKA-Schlüsselerkennungsmethode wurde eingestellt und die damit verbundenen Optionen wurden entfernt.
Source: opennet.ru