Sortie de GnuPG 2.4.0

Après cinq ans de développement, la version de l'outil GnuPG 2.4.0 (GNU Privacy Guard) est maintenant disponible, conforme aux normes OpenPGP (RFC-4880) et S/MIME, et fournissant des utilitaires pour le chiffrement des données, le travail avec des signatures électroniques, la gestion des clés et l'accès aux dépôts publics de clés.

GnuPG 2.4.0 se positionne comme la première version d'une nouvelle branche stable, qui intègre les modifications accumulées lors de la préparation des versions 2.3.x. La branche 2.2 est maintenant considérée comme une ancienne branche stable, qui sera maintenue jusqu'à la fin de l'année 2024. La branche GnuPG 1.4 continue d'être supportée en tant que série classique, consommant des ressources minimales, adaptée aux systèmes embarqués et compatible avec les anciens algorithmes de chiffrement.

Changements clés dans GnuPG 2.4 par rapport à l'ancienne branche stable 2.2 :

• Un processus en arrière-plan a été ajouté avec une base de données de clés, utilisant une base de données SQLite pour le stockage et montrant une recherche de clés nettement plus rapide. Pour activer le nouveau stockage, il faut activer l'option « use-keyboxd » dans common.conf.
• Un processus en arrière-plan tpm2d a été ajouté, permettant d'utiliser des puces TPM 2.0 pour protéger les clés privées et exécuter des opérations de chiffrement ou de signature numérique du côté du module TPM.
• Un nouvel utilitaire gpg-card a été ajouté, que l'on peut utiliser comme une interface flexible pour tous les types de cartes à puce prises en charge.
• Un nouvel utilitaire gpg-auth pour l'authentification a été ajouté.
• Un nouveau fichier de configuration commun common.conf a été ajouté, qui est utilisé pour activer le processus en arrière-plan keyboxd sans ajouter séparément des paramètres dans gpg.conf et gpgsm.conf.
• Le support de la cinquième version des clés et des signatures numériques a été assuré, utilisant l'algorithme SHA256 au lieu de SHA1.
• Les algorithmes par défaut pour les clés publiques sont ed25519 et cv25519.
• Le support des modes de chiffrement par blocs AEAD OCB et EAX a été ajouté.
• Le support des courbes elliptiques X448 (ed448, cv448) a été ajouté.
• L'utilisation de noms de groupes dans les listes de clés est désormais autorisée.
• Dans gpg, gpgsm, gpgconf, gpg-card et gpg-connect-agent, une option « —chuid » a été ajoutée pour changer l'identifiant de l'utilisateur.
• Sur la plateforme Windows, un support complet de l'Unicode dans la ligne de commande a été mis en œuvre.
• Une option de compilation « —with-tss » a été ajoutée pour sélectionner la bibliothèque TSS.
• Dans gpgsm, le support de base pour ECC a été ajouté ainsi que la possibilité de créer des certificats EdDSA. Le support pour le déchiffrement des données chiffrées avec un mot de passe a été ajouté. Le déchiffrement AES-GCM est maintenant pris en charge. De nouvelles options « —ldapserver » et « —show-certs » ont été ajoutées.
• Dans l'agent, l'utilisation de la valeur « Label: » dans le fichier de clés pour configurer l'invite de saisie du code PIN est désormais autorisée. Le support des extensions de ssh-agent pour les variables d'environnement a été mis en œuvre. Une émulation Win32-OpenSSH via gpg-agent a été ajoutée. Par défaut, l'algorithme SHA-256 est utilisé pour créer les empreintes de clés SSH. Les options « —pinentry-formatted-passphrase » et « —check-sym-passphrase-pattern » ont été ajoutées.
• Dans scd, le support du travail avec plusieurs lecteurs de cartes et tokens a été amélioré. Il est maintenant possible d'utiliser plusieurs applications avec une carte intelligente spécifique. Le support pour les cartes PIV, les Telesec Signature Cards v2.0 et Rohde&Schwarz Cybersecurity a été ajouté. De nouvelles options « —application-priority » et « —pcsc-shared » ont été ajoutées.
• L'outil gpgconf a reçu l'option « —show-configs ».
• Modifications dans gpg :
  • Le paramètre « —list-filter » a été ajouté pour la génération sélective de listes de clés, par exemple « gpg -k —list-filter ‘select=revoked-f && sub/algostr=ed25519’ ».
  • De nouvelles commandes et options ont été ajoutées : « —quick-update-pref », « show-pref », « show-pref-verbose », « —export-filter export-revocs », « —full-timestrings », « —min-rsa-length », « —forbid-gen-key », « —override-compliance-check », « —force-sign-key » et « —no-auto-trust-new-key ».
  • Le support de l'importation de listes arbitraires de certificats révoqués a été ajouté.
  • La vérification des signatures numériques est désormais accélérée de 10 fois ou plus.
  • Les résultats de la vérification dépendent maintenant de l'option « —sender » et de l'identifiant du créateur de la signature.
  • Il est maintenant possible d'exporter des clés Ed448 pour SSH.
  • Seul le mode OCB est désormais autorisé lors du chiffrement AEAD.
  • Le déchiffrement sans clé publique est autorisé en présence d'une carte intelligente insérée.
  • Pour les algorithmes ed448 et cv448, la création de clés de cinquième version est désormais forcée.
  • Lors de l'importation depuis de serveurs LDAP, l'option self-sigs-only est désactivée par défaut.
• Dans gpg, l'utilisation des algorithmes de chiffrement avec une taille de bloc de 64 bits a été abandonnée. L'utilisation de 3DES est interdite, et AES est désormais déclaré comme l'algorithme minimalement supporté. L'option « —allow-old-cipher-algos » peut être utilisée pour désactiver cette restriction.
• L'outil symcryptrun (wrapper obsolète sur un outil externe Chiasmus) a été retiré.
• La prise en charge de la méthode obsolète de détection des clés PKA a été interrompue et les options associées ont été supprimées.

Source : opennet.ru