GnuPG 2.2.17 väljaanne, millel on muudatused võtme serverite rünnakute tõrjumiseks

Avaldatud tööriista vabanemine GnuPG 2.2.17 (GNU Privacy Guard), mis on kooskõlas OpenPGP (RFC-4880) ja S/MIME, pakkudes tööriistu andmete krüpteerimiseks, elektrooniliste allkirjade haldamiseks, võtmete haldamiseks ja juurdepääsuks avalikele võtmehoidlatele. Tuletame meelde, et GnuPG 2.2 haru positsioneeritakse kui arenev väljaanne, kuhu lisatakse uusi funktsioone, samas kui haru 2.1 lubab ainult parandusi.

Uues väljaandes on ettepanekud, kuidas võidelda rünnakute vastu võtme serveritele, mis põhjustab GnuPG jäätumist ja takistab edasist tööd, kuni probleemne sertifikaat on eemaldatud kohalikust hoidlast või sertifikaadi hoidla on rekonstrueeritud usaldusväärsete avalike võtmete põhjal. Lisatud kaitse põhineb kolmandate osapoolte digitaalsete allkirjade sertifikaatide automaatse ignoreerimise täielikul ignoreerimisel, kui need on saadud võtme hoidlate serveritest. Tuletame meelde, et iga kasutaja võib lisada võtme hoidla serverisse oma digitaalallkirja juhuslike sertifikaatide jaoks, mida kurjategijad kasutavad, et luua ohvri sertifikaadile tohutul hulgal selliseid allkirju (üle sada tuhat), mille töötlemine häirib GnuPG normaalset toimimist.

Kolmandate osapoolte digitaalsete allkirjade ignoreerimist reguleeritakse valikuga „self-sigs-only”, mis lubab laadida võtmete jaoks ainult nende loojate enda allkirju. Vanema käitumise taastamiseks saab gpg.conf faili lisada seade „keyserver-options no-self-sigs-only,no-import-clean”. Kui töö käigus on fikseeritud imporditavate plokkide arv, mis põhjustaks kohalikku hoidlasse (pubring.kbx) ülevoolu, lülitab GnuPG automaatselt sisse digitaalsete allkirjade ignoreerimise režiimi („self-sigs-only,import-clean”), mitte ei väljenda viga.

Võtmete uuendamiseks mehhanismi Web Key Directory (WKD) on lisatud valik „—locate-external-key“, mida saab kasutada sertifikaadi hoidla rekonstrueerimiseks usaldusväärsete avalike võtmete põhjal. Operatsiooni „—auto-key-retrieve” täitmisel on WKD mehhanism nüüd eelmisel kohal võrreldes võtme serveritega. WKD toimimise olemus seisneb avalike võtmete paigutamises veebikeskkonda, seotuna domeeniga, mis on märgitud e-posti aadressis. Näiteks, e-posti aadressi „test@example.com” jaoks võib võtme laadida lingi kaudu „https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfceece9a5594e6039d5a”.

Allikas: opennet.ru