Dopo cinque anni di sviluppo, viene presentato il rilascio dell'utility GnuPG 2.4.0 (GNU Privacy Guard), compatibile con gli standard OpenPGP (RFC-4880) e S/MIME, offrendo strumenti per la crittografia dei dati, la gestione delle firme elettroniche, la gestione delle chiavi e l'accesso ai repository pubblici di chiavi.
GnuPG 2.4.0 è posizionato come il primo rilascio del nuovo ramo stabile, che incorpora le modifiche accumulate durante la preparazione dei rilasci 2.3.x. Il ramo 2.2 è stato qualificato come ramo stabile obsoleto, che sarà supportato fino alla fine del 2024. Il ramo GnuPG 1.4 continua a essere mantenuto come serie classica, che consuma risorse minime, adatta per sistemi embedded e compatibile con algoritmi di crittografia obsoleti.
Modifiche chiave in GnuPG 2.4 rispetto al ramo stabile precedente 2.2:
- Aggiunto un processo in background con implementazione di un database delle chiavi, che utilizza il database SQLite per la memorizzazione e dimostra una ricerca delle chiavi significativamente più veloce. Per attivare il nuovo deposito, è necessario abilitare l'opzione 'use-keyboxd' in common.conf.
- È stato aggiunto un processo in background tpm2d, che consente di utilizzare i chip TPM 2.0 per proteggere le chiavi private e per eseguire operazioni di crittografia o generazione di firme digitali sul modulo TPM.
- È stata aggiunta una nuova utility gpg-card, che può essere utilizzata come un'interfaccia flessibile per tutti i tipi di smart card supportati.
- È stata aggiunta una nuova utility gpg-auth per l'autenticazione.
- È stato aggiunto un nuovo file di configurazione comune common.conf, utilizzato per attivare il processo in background keyboxd senza dover aggiungere separatamente le impostazioni in gpg.conf e gpgsm.conf.
- È stata garantita la compatibilità con la quinta versione delle chiavi e delle firme digitali, che utilizza l'algoritmo SHA256 anziché SHA1.
- Sono stati adottati come algoritmi predefiniti per le chiavi pubbliche ed25519 e cv25519.
- È stato aggiunto il supporto per i modi di crittografia a blocchi AEAD OCB e EAX.
- È stata aggiunta la supporto per le curve ellittiche X448 (ed448, cv448).
- È consentito l'uso di nomi di gruppi nelle liste delle chiavi.
- In gpg, gpgsm, gpgconf, gpg-card e gpg-connect-agent è stata aggiunta l'opzione «—chuid» per cambiare l'identificatore dell'utente.
- Sulla piattaforma Windows è stato implementato il supporto completo per Unicode nella riga di comando.
- È stata aggiunta l'opzione di compilazione ‘--with-tss’ per scegliere la libreria TSS.
- In gpgsm è stato aggiunto il supporto di base per ECC e la possibilità di creare certificati EdDSA. È stata aggiunta la supporto per la decrittazione dei dati crittografati con una password. È stata aggiunta la supporto per la decrittazione AES-GCM. Sono state aggiunte nuove opzioni ‘--ldapserver’ e ‘--show-certs’.
- Nell'agente è consentito utilizzare il valore «Label:» nel file delle chiavi per configurare il prompt di immissione del PIN. Supporto per le estensioni ssh-agent delle variabili ambientali è stato implementato. È stata aggiunta l'emulazione di Win32-OpenSSH tramite gpg-agent. Per la creazione di impronte digitali delle chiavi SSH, di default è utilizzato l'algoritmo SHA-256. Sono state aggiunte le opzioni «—pinentry-formatted-passphrase» e «—check-sym-passphrase-pattern».
- In scd è migliorato il supporto per il funzionamento con più lettori di schede e token. È stata implementata la possibilità di utilizzare più applicazioni con una determinata smart card. Supporto per carte PIV, Telesec Signature Cards v2.0 e Rohde&Schwarz Cybersecurity è stato aggiunto. Sono state aggiunte nuove opzioni «—application-priority» e «—pcsc-shared».
- Nell'utilità gpgconf è stata aggiunta l'opzione «—show-configs».
- Modifiche in gpg:
- È stato aggiunto il parametro «—list-filter» per la creazione di un elenco di chiavi selettivo, ad esempio «gpg -k —list-filter ‘select=revoked-f && sub/algostr=ed25519′».
- Sono stati aggiunti nuovi comandi e opzioni: «—quick-update-pref», «show-pref», «show-pref-verbose», «—export-filter export-revocs», «—full-timestrings», «—min-rsa-length», «—forbid-gen-key», «—override-compliance-check», «—force-sign-key» e «—no-auto-trust-new-key».
- È stato aggiunto il supporto per l'importazione di elenchi arbitrari di certificati revocati.
- La verifica delle firme digitali è accelerata di oltre 10 volte.
- I risultati della verifica ora dipendono dall'opzione «—sender» e dall'identificatore del creatore della firma.
- Aggiunta la possibilità di esportare chiavi Ed448 per SSH.
- Consentito l'uso della modalità OCB solo con la crittografia AEAD.
- Consentita la decrittazione senza chiave pubblica in presenza di una smartcard inserita.
- Per gli algoritmi ed448 e cv448 ora è obbligatorio generare chiavi di quinta versione.
- Durante l'importazione da server LDAP, l'applicazione dell'opzione self-sigs-only è disabilitata di default.
- In gpg non si utilizzano più algoritmi di crittografia con dimensioni di blocco a 64 bit. L'uso di 3DES è vietato e AES è dichiarato come algoritmo minimo supportato. Per disabilitare il limite, è possibile utilizzare l'opzione «—allow-old-cipher-algos».
- Rimossa l'utility symcryptrun (interfaccia obsoleta sopra l'utility esterna Chiasmus).
- È stata interrotta la supporto del metodo obsoleto di rilevamento delle chiavi PKA e rimosse le opzioni correlate.
Fonte: opennet.ru
