rilascio del toolkit (GNU Privacy Guard), compatibile con gli standard OpenPGP () e S/MIME, fornendo anche strumenti per la crittografia dei dati, la gestione delle firme digitali, la gestione delle chiavi e l'accesso ai repository pubblici di chiavi. Ricordiamo che il ramo GnuPG 2.2 è posizionato come una versione in evoluzione, a cui vengono continuamente aggiunte nuove funzionalità, mentre nel ramo 2.1 vengono apportate solo correzioni di bug.
La nuova versione propone misure per contrastare , che portano al blocco di GnuPG e all'incapacità di continuare a lavorare fino alla rimozione del certificato problematico dal deposito locale o alla ricreazione del deposito di certificati basato su chiavi pubbliche verificate. La protezione aggiuntiva è costruita su un completo ignoramento predefinito di tutte le firme digitali di certificati esterni ricevute dai server di archiviazione delle chiavi. Ricordiamo che qualsiasi utente può aggiungere la propria firma digitale per certificati arbitrari sul server di archiviazione delle chiavi, il che è sfruttato da malintenzionati per generare un numero enorme di tali firme (oltre centomila) per il certificato della vittima, il cui trattamento compromette il normale funzionamento di GnuPG.
L'ignoranza delle firme digitali di terze parti è regolata dall'opzione «self-sigs-only», che consente il caricamento di firme solo delle chiavi dei loro stessi creatori. Per ripristinare il comportamento precedente, può essere aggiunta l'impostazione «keyserver-options no-self-sigs-only,no-import-clean» in gpg.conf. Tuttavia, se durante l'operazione viene rilevato l'import di un numero di blocchi tale da provocare un overflow del deposito locale (pubring.kbx), GnuPG attiva automaticamente la modalità di ignoranza delle firme digitali («self-sigs-only,import-clean») invece di emettere un errore.
Per aggiornare le chiavi utilizzando il meccanismo (WKD) è stata aggiunta l'opzione «—locate-external-key», che può essere utilizzata per ricreare il deposito dei certificati basato su chiavi pubbliche verificate. Quando si esegue l'operazione «—auto-key-retrieve», il meccanismo WKD è ora più preferibile rispetto ai server di chiavi. L'idea di WKD è quella di ospitare chiavi pubbliche sul web, collegandole al dominio specificato nell'indirizzo email. Ad esempio, per l'indirizzo «test@example.com», la chiave può essere caricata tramite il link «https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfceece9a5594e6039d5a».
Fonte: opennet.ru
