Esimene stabiilne väljaanne PGP tööriistade komplektist sq projektilt Sequoia

Pärast seitsme aastast arendust on välja paisatud käsurea tööriistade komplekt sq 1.0, mis on mõeldud OpenPGP artefaktidega töötamiseks. Tööriistakomplekt on valmistatud Sequoia PGP projekti poolt, mis arendab ka funktsioonide teeki, mis rakendab OpenPGP standardit (RFC-4880). Väljaanne 1.0 on tähistatud kui projekti esimene stabiilne väljaanne, mis tähendab koodibaasi stabiliseerimist ja kooskõlastamatuse tõttu muudatuste lõpetamist. Kood on kirjutatud Rust keeles ja seda levitatakse GPLv2+ litsentsi alusel.

Tööriistakomplekt on kaasatud Red Hat Enterprise Linux 10 distributsiooni alternatiivina GnuPG-le, seda kasutatakse PGP tööks DNF ja RPM paketihaldurites ning seda kasutatakse vaikimisi katseversioonis paketihaldur APT, kui Sequoia komponente on süsteemis. Sequoia arendajate loodud Hagrid võtme serverit kasutatakse teenuses keys.openpgp.org.

Sequoia projekt on loodud kolme GnuPG arendaja poolt g10code'ist, mis on spetsialiseerunud krüptosüsteemide auditeerimisele ja GnuPG täiustuste väljatöötamisele. Projekti eesmärk on arhitektuuri ümbertegemine ja uute turvalisuse ja koodibaasi usaldusväärsuse tõstmise tehnikate rakendamine. Lisaks Rust keele kasutamisele, et vähendada mälu kasutamisel vigade tõenäosust, on Sequoias rakendatud täiendav kaitse API tasandil. Näiteks ei luba API kogemata eksportida salajase võtme materjali ning kaitseb oluliste toimingute vahelejätmise eest digitaalallkirja uuendamisel. Täiendava isolatsiooni tagamiseks kasutatakse avatud ja suletud võti teenuste eraldi protsessidesse jagamist.

Lisaks andmete krüpteerimise, elektrooniliste allkirjade töötlemise ja võtmete haldamise funktsioonidele, mis on sarnased gpg võimalustega, pakub sq ka detsentraliseeritud avalike võtmete infrastruktuuri (PKI). PKI-d kasutatakse sertifikaatide ja sõnumite autentimiseks ning see võimaldab veenduda, et saadud avalik võti ja vastuvõetud sõnum on seotud nimetatud autoriga, mitte on loodud pahatahtliku isiku poolt.

Küsimise ajal sertifikaadi allalaadimisel keys.openpgp.org või mõnelt teisest võtme serverist salvestab utiliit sq automaatselt sertifikaadi teabe kohalikku süsteemi ja kasutab seda teavet edasistes toimingutes vale sertifikaatide tuvastamiseks. Tuleb märkida, et rakendatud süsteemi saab kasutada jaotatud tunnustuskeskuse (CA) loomiseks, mis katab erinevaid võtme servereid.

Näiteks enne Qubesi operatsioonisüsteemi allalaaditud kogumite autentimist saab kasutaja esmalt kontrollida Qubesi sertifikaati, mille esitab projekti Qubesi peamine võtme server: sq network search https://keys.qubes-os.org/keys/qubes-release-4.2-signing-key.asc

Antud käsk laadib sertifikaadi serverist keys.qubes-os.org ja kontrollib selle olemasolu tuntud võtme serverites, nagu keys.openpgp.org ja keyserver.ubuntu.com, või proovib hankida, kasutades WKD (Web Key Directory) ja DANE (DNS-Based Authentication of Named Entities) mehhanisme. Seejärel võrdleb utiliit saadud sertifikaate ning kui need on seotud ühe omaniku ja pakkuda käsku „sq pki link add”, et salvestada sertifikaat kohalikus süsteemis edasiseks kontrollimiseks. Pärast salvestamist loetakse sertifikaat usaldusväärseks ja allalaadimiseks piisab käsku täitmisest: sq download —signature-url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso.asc —url https://mirrors.edge.kernel.org/qubes/iso/Qubes-R4.2.3-x86_64.iso —output /tmp/qubes.iso

Allikas: opennet.ru