Sgaoileadh GnuPG 2.2.17 le atharrachaidhean an aghaidh ionnsaigh air prìomh luchd-frithealaidh

foillsichte sgaoileadh innealan GnuPG 2.2.17 (GNU Privacy Guard), co-chòrdail ri inbhean OpenPGP (RFC-4880) agus S/MIME, agus a’ toirt seachad goireasan airson crioptachadh dàta, ag obair le ainmean-sgrìobhte dealanach, prìomh stiùireadh agus ruigsinneachd gu prìomh stòran poblach. Cuimhnich gu bheil meur GnuPG 2.2 air a shuidheachadh mar fhoillseachadh leasachaidh anns a bheil feartan ùra fhathast gan cur ris; chan eil ach fuasglaidhean ceartachaidh ceadaichte ann am meur 2.1.

В новом выпуске предложены меры для противостояния атаке на серверы ключей, приводящей к зависанию GnuPG и невозможности дальнейшей работы до удаления проблемного сертификата из локального хранилища или пересоздания хранилища сертификатов на основе проверенных открытых ключей. Добавленная защита построена на полном игнорировании по умолчанию всех сторонних цифровых подписей сертификатов, полученных с серверов хранения ключей. Напомним, что любой пользователь может добавить на сервер хранения ключей свою цифровую подпись для произвольных сертификатов, что используется злоумышленниками для создания для сертификата жертвы огромного числа таких подписей (более сотни тысяч), обработка которых нарушает нормальную работу GnuPG.

Игнорирование сторонних цифровых подписей регулируются опцией «self-sigs-only», которая допускает загрузку для ключей только собственных подписей их создателей. Для восстановления старого поведения в gpg.conf может добавить настройку «keyserver-options no-self-sigs-only,no-import-clean». При этом если в процессе работы фиксируется импортирование числа блоков, которое вызовет переполнение локального хранилища (pubring.kbx), GnuPG вместо вывода ошибки автоматически включает режим игнорирования цифровых подписей («self-sigs-only,import-clean»).

Для обновления ключей c использованием механизма Eòlaire iuchair lìn (WKD) добавлена опция «—locate-external-key», которую можно использовать для пересоздания хранилища сертификатов на основе проверенных открытых ключей. При выполнении операции «—auto-key-retrieve» механизм WKD теперь является более предпочтительным, чем серверы ключей. Суть работы WKD заключается в размещении открытых ключей в web c привязкой к домену, указанному в почтовом адресе. Например, для адреса «[post-d fo dhìon]» ключ может быть загружен через ссылку «https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfceece9a5594e6039d5a».

Source: fosgailtenet.ru

Cuir beachd ann