Después de cinco años de desarrollo, se presenta el lanzamiento del kit de herramientas GnuPG 2.4.0 (GNU Privacy Guard), compatible con los estándares OpenPGP (RFC-4880) y S/MIME, y que proporciona utilidades para el cifrado de datos, trabajo con firmas electrónicas, claves. gestión y acceso a claves de almacenamiento público.
GnuPG 2.4.0 se posiciona como la primera versión de una nueva rama estable, que incorpora cambios acumulados durante la preparación de las versiones 2.3.x. La rama 2.2 ha sido relegada a la antigua rama estable, que contará con soporte hasta finales de 2024. La rama GnuPG 1.4 continúa manteniéndose como una serie clásica que consume recursos mínimos, es adecuada para sistemas integrados y es compatible con algoritmos de cifrado heredados.
Cambios clave en GnuPG 2.4 en comparación con la rama estable anterior 2.2:
- Se agregó un proceso en segundo plano para implementar una base de datos de claves, utilizando SQLite DBMS para el almacenamiento y demostrando una búsqueda de claves significativamente más rápida. Para habilitar el nuevo repositorio, debe habilitar la opción “use-keyboxd” en common.conf.
- Se agregó el proceso en segundo plano tpm2d para permitir que los chips TPM 2.0 se utilicen para proteger claves privadas y realizar operaciones de cifrado o firma digital en el lado del módulo TPM.
- Se ha agregado una nueva utilidad gpg-card, que se puede utilizar como una interfaz flexible para todos los tipos de tarjetas inteligentes compatibles.
- Se agregó una nueva utilidad gpg-auth para autenticación.
- Se agregó un nuevo archivo de configuración común, common.conf, que se usa para habilitar el proceso en segundo plano de keyboxd sin agregar configuraciones a gpg.conf y gpgsm.conf por separado.
- Se proporciona soporte para la quinta versión de claves y firmas digitales, que utiliza el algoritmo SHA256 en lugar de SHA1.
- Los algoritmos predeterminados para claves públicas son ed25519 y cv25519.
- Se agregó soporte para los modos de cifrado de bloques AEAD OCB y EAX.
- Se agregó soporte para curvas elípticas X448 (ed448, cv448).
- Se permite utilizar nombres de grupos en listas de claves.
- Se agregó la opción "--chuid" a gpg, gpgsm, gpgconf, gpg-card y gpg-connect-agent para cambiar la ID de usuario.
- En la plataforma Windows, la compatibilidad total con Unicode se implementa en la línea de comando.
- Se agregó la opción de compilación "--with-tss" para seleccionar la biblioteca TSS.
- gpgsm agrega soporte ECC básico y la capacidad de crear certificados EdDSA. Se agregó soporte para descifrar datos cifrados con una contraseña. Se agregó soporte para el descifrado AES-GCM. Se agregaron nuevas opciones "--ldapserver" y "--show-certs".
- El agente permite el uso del valor "Etiqueta:" en el archivo de clave para configurar la solicitud de PIN. Se implementó soporte para extensiones de agente ssh para variables de entorno. Se agregó emulación Win32-OpenSSH a través de gpg-agent. Para crear huellas digitales de claves SSH, se utiliza el algoritmo SHA-256 de forma predeterminada. Se agregaron las opciones "--pinentry-formatted-passphrase" y "--check-sym-passphrase-pattern".
- Scd ha mejorado el soporte para trabajar con múltiples lectores de tarjetas y tokens. Se ha implementado la posibilidad de utilizar varias aplicaciones con una tarjeta inteligente específica. Se agregó soporte para tarjetas PIV, Telesec Signature Cards v2.0 y Rohde&Schwarz Cybersecurity. Se agregaron nuevas opciones "--application-priority" y "--pcsc-shared".
- La opción "--show-configs" se ha agregado a la utilidad gpgconf.
- Cambios en gpg:
- Se agregó el parámetro "--list-filter" para generar selectivamente una lista de claves, por ejemplo "gpg -k --list-filter 'select=revoked-f && sub/algostr=ed25519′".
- Se agregaron nuevos comandos y opciones: "--quick-update-pref", "show-pref", "show-pref-verbose", "-export-filter export-revocs", "-full-timestrings", "-min - rsa-length", "--forbid-gen-key", "--override-compliance-check", "--force-sign-key" y "--no-auto-trust-new-key".
- Se agregó soporte para importar listas de revocación de certificados personalizadas.
- La verificación de firmas digitales se ha acelerado 10 veces o más.
- Los resultados de la verificación ahora dependen de la opción “--sender” y del ID del creador de la firma.
- Se agregó la capacidad de exportar claves Ed448 para SSH.
- Sólo se permite el modo OCB para el cifrado AEAD.
- Se permite el descifrado sin una clave pública si se inserta una tarjeta inteligente.
- Para los algoritmos ed448 y cv448, la creación de claves de la quinta versión ahora está habilitada de forma forzada.
- Al importar desde un servidor LDAP, la opción de solo firma automática está deshabilitada de forma predeterminada.
- gpg ya no utiliza algoritmos de tamaño de bloque de 64 bits para el cifrado. El uso de 3DES está prohibido y AES se declara como el algoritmo mínimo admitido. Para desactivar la restricción, puede utilizar la opción “--allow-old-cipher-algos”.
- Se eliminó la utilidad symcryptrun (envoltorio obsoleto encima de la utilidad externa Chiasmus).
- El método heredado de descubrimiento de claves PKA se suspendió y se eliminaron las opciones asociadas con él.
Fuente: opennet.ru