Dopo cinque anni di sviluppo, è stato presentato il rilascio della suite di strumenti GnuPG 2.4.0 (GNU Privacy Guard), compatibile con gli standard OpenPGP (RFC-4880) e S/MIME, fornendo strumenti per la crittografia dei dati, gestione delle firme elettroniche, gestione delle chiavi e accesso ai repository pubblici di chiavi.
GnuPG 2.4.0 è posizionato come il primo rilascio del nuovo ramo stabile, che ha incorporato le modifiche accumulate durante la preparazione dei rilasci 2.3.x. Il ramo 2.2 è stato spostato nella categoria dei vecchi rami stabili, che saranno supportati fino alla fine del 2024. Il ramo GnuPG 1.4 continua a essere mantenuto come serie classica, che consuma risorse minime e si adatta a sistemi embedded, compatibile con algoritmi di crittografia obsoleti.
Modifiche chiave in GnuPG 2.4 rispetto all'ultima versione stabile 2.2:
- Aggiunto un processo in background con implementazione di un database delle chiavi, che utilizza il DBMS SQLite per l'archiviazione e presenta una ricerca delle chiavi notevolmente più rapida. Per attivare il nuovo archivio, è necessario abilitare nell'common.conf l'opzione «use-keyboxd».
- Aggiunto un processo in background tpm2d, che consente di utilizzare chip TPM 2.0 per proteggere le chiavi private e per eseguire operazioni di crittografia o creazione di firme digitali sul modulo TPM.
- Aggiunto un nuovo strumento gpg-card, che può essere utilizzato come interfaccia flessibile per tutti i tipi di smart card supportati.
- Aggiunto un nuovo strumento gpg-auth per l'autenticazione.
- Aggiunto un nuovo file di configurazione comune common.conf, utilizzato per attivare il processo in background keyboxd senza dover aggiungere separatamente le impostazioni in gpg.conf e gpgsm.conf.
- Garantito il supporto per la quinta versione delle chiavi e delle firme digitali, che utilizza l'algoritmo SHA256 al posto di SHA1.
- Come algoritmi predefiniti per le chiavi pubbliche, sono stati utilizzati ed25519 e cv25519.
- Aggiunto supporto per modalità AEAD di crittografia a blocchi OCB ed EAX.
- Aggiunto supporto per curve ellittiche X448 (ed448, cv448).
- Consentito l'uso di nomi di gruppi nell'elenco delle chiavi.
- In gpg, gpgsm, gpgconf, gpg-card e gpg-connect-agent è stata aggiunta l'opzione «—chuid» per cambiare l'identificatore utente.
- Sulla piattaforma Windows è stato implementato il supporto completo per Unicode nella riga di comando.
- Aggiunta un'opzione di build «—with-tss» per selezionare la libreria TSS.
- In gpgsm è stata aggiunta il supporto di base per ECC e la possibilità di creare certificati EdDSA. È stato aggiunto il supporto per la decrittazione dei dati crittografati con una password. È stato aggiunto il supporto per la decrittazione AES-GCM. Sono state aggiunte nuove opzioni «—ldapserver» e «—show-certs».
- Nell'agente è stato autorizzato l'uso del valore «Label:» nel file delle chiavi per impostare il prompt per l'inserimento del codice PIN. È stato implementato il supporto per le estensioni ssh-agent per le variabili ambientali. È stata aggiunta l'emulazione di Win32-OpenSSH tramite gpg-agent. Per la creazione delle impronte digitali delle chiavi SSH, per impostazione predefinita, viene utilizzato l'algoritmo SHA-256. Sono state aggiunte le opzioni «—pinentry-formatted-passphrase» e «—check-sym-passphrase-pattern».
- Nel scd è stato migliorato il supporto per il funzionamento con più lettori di schede e token. È stata implementata la possibilità di utilizzare più applicazioni con una determinata smart card. È stato aggiunto il supporto per le schede PIV, le Telesec Signature Cards v2.0 e Rohde&Schwarz Cybersecurity. Sono state aggiunte nuove opzioni «—application-priority» e «—pcsc-shared».
- Nell'utility gpgconf è stata aggiunta l'opzione «—show-configs».
- Modifiche in gpg:
- È stato aggiunto il parametro «—list-filter» per la generazione selettiva dell'elenco delle chiavi, ad esempio «gpg -k —list-filter ‘select=revoked-f && sub/algostr=ed25519’».
- Sono stati aggiunti nuovi comandi e opzioni: «—quick-update-pref», «show-pref», «show-pref-verbose», «—export-filter export-revocs», «—full-timestrings», «—min-rsa-length», «—forbid-gen-key», «—override-compliance-check», «—force-sign-key» e «—no-auto-trust-new-key».
- È stato aggiunto il supporto per l'importazione di elenchi arbitrari di certificati revocati.
- Il controllo delle firme digitali è stato accelerato da 10 volte o più.
- I risultati del controllo ora dipendono dall'opzione «—sender» e dall'identificatore del creatore della firma.
- È stata aggiunta la possibilità di esportare chiavi Ed448 per SSH.
- È consentito utilizzare solo la modalità OCB durante la crittografia AEAD.
- È consentita la decrittazione senza una chiave pubblica in presenza di una smart card inserita.
- Per gli algoritmi ed448 e cv448 è ora forzata la creazione di chiavi di quinta versione.
- Durante l'importazione da server LDAP per impostazione predefinita è disabilitata l'applicazione dell'opzione self-sigs-only.
- In gpg è cessato l'uso di algoritmi a 64 bit per la crittografia. L'uso di 3DES è vietato, e come algoritmo minimo supportato è stato dichiarato AES. Per disattivare il limite si può utilizzare l'opzione «—allow-old-cipher-algos».
- È stato rimosso l'utility symcryptrun (wrapper obsoleto sopra l'utility esterna Chiasmus).
- Il supporto per il vecchio metodo di rilevamento delle chiavi PKA è stato interrotto e le opzioni correlate sono state rimosse.
Fonte: opennet.ru
