Dopo cinque anni di sviluppo, viene presentato il rilascio del toolkit GnuPG 2.4.0 (GNU Privacy Guard), compatibile con gli standard OpenPGP (RFC-4880) e S/MIME e che fornisce utilità per la crittografia dei dati, il lavoro con firme elettroniche, chiavi gestione e accesso alle chiavi di pubblica archiviazione.
GnuPG 2.4.0 si posiziona come il primo rilascio di un nuovo ramo stabile, che incorpora le modifiche accumulate durante la preparazione delle versioni 2.3.x. Il ramo 2.2 è stato relegato al vecchio ramo stabile, che sarà supportato fino alla fine del 2024. Il ramo GnuPG 1.4 continua a essere mantenuto come una serie classica che consuma risorse minime, è adatta per sistemi embedded ed è compatibile con algoritmi di crittografia legacy.
Cambiamenti chiave in GnuPG 2.4 rispetto al precedente ramo stabile 2.2:
- È stato aggiunto un processo in background per implementare un database di chiavi, utilizzando il DBMS SQLite per l'archiviazione e dimostrando una ricerca delle chiavi significativamente più rapida. Per abilitare il nuovo repository, è necessario abilitare l'opzione "use-keyboxd" in common.conf.
- Aggiunto il processo in background tpm2d per consentire l'utilizzo dei chip TPM 2.0 per proteggere le chiavi private ed eseguire operazioni di crittografia o firma digitale sul lato TPM.
- È stata aggiunta una nuova utility gpg-card, che può essere utilizzata come interfaccia flessibile per tutti i tipi di smart card supportati.
- Aggiunta nuova utility gpg-auth per l'autenticazione.
- Aggiunto un nuovo file di configurazione comune, common.conf, che viene utilizzato per abilitare il processo in background keyboxd senza aggiungere impostazioni a gpg.conf e gpgsm.conf separatamente.
- Viene fornito il supporto per la quinta versione di chiavi e firme digitali, che utilizza l'algoritmo SHA256 anziché SHA1.
- Gli algoritmi predefiniti per le chiavi pubbliche sono ed25519 e cv25519.
- Aggiunto supporto per le modalità di crittografia a blocchi AEAD OCB ed EAX.
- Aggiunto il supporto per le curve ellittiche X448 (ed448, cv448).
- Autorizzato a utilizzare i nomi dei gruppi negli elenchi di chiavi.
- Aggiunta l'opzione "--chuid" a gpg, gpgsm, gpgconf, gpg-card e gpg-connect-agent per modificare l'ID utente.
- Sulla piattaforma Windows, il supporto Unicode completo è implementato sulla riga di comando.
- Aggiunta l'opzione di build "--with-tss" per selezionare la libreria TSS.
- gpgsm aggiunge il supporto ECC di base e la possibilità di creare certificati EdDSA. Aggiunto supporto per decrittografare i dati crittografati utilizzando una password. Aggiunto il supporto per la decrittografia AES-GCM. Aggiunte nuove opzioni "--ldapserver" e "--show-certs".
- L'agente consente l'utilizzo del valore "Label:" nel file della chiave per configurare la richiesta del PIN. Supporto implementato per le estensioni ssh-agent per le variabili di ambiente. Aggiunta l'emulazione Win32-OpenSSH tramite gpg-agent. Per creare impronte digitali delle chiavi SSH, per impostazione predefinita viene utilizzato l'algoritmo SHA-256. Aggiunte le opzioni "--pinentry-formatted-passphrase" e "--check-sym-passphrase-pattern".
- Scd ha migliorato il supporto per lavorare con più lettori di carte e gettoni. È stata implementata la possibilità di utilizzare più applicazioni con una smart card specifica. Aggiunto supporto per carte PIV, carte Telesec Signature v2.0 e Rohde&Schwarz Cybersecurity. Aggiunte nuove opzioni "--application-priority" e "--pcsc-shared".
- L'opzione "--show-configs" è stata aggiunta all'utilità gpgconf.
- Modifiche in gpg:
- Aggiunto il parametro "--list-filter" per generare selettivamente un elenco di chiavi, ad esempio "gpg -k --list-filter 'select=revoked-f && sub/algostr=ed25519′".
- Aggiunti nuovi comandi e opzioni: "--quick-update-pref", "show-pref", "show-pref-verbose", "-export-filter export-revocs", "-full-timestrings", "-min - rsa-length", "--forbid-gen-key", "--override-compliance-check", "--force-sign-key" e "--no-auto-trust-new-key".
- Aggiunto supporto per l'importazione di elenchi di revoche di certificati personalizzati.
- La verifica delle firme digitali è stata accelerata di 10 o più volte.
- I risultati della verifica ora dipendono dall'opzione "--sender" e dall'ID del creatore della firma.
- Aggiunta la possibilità di esportare chiavi Ed448 per SSH.
- Per la crittografia AEAD è consentita solo la modalità OCB.
- La decrittazione senza chiave pubblica è consentita se è inserita una smart card.
- Per gli algoritmi ed448 e cv448 la creazione delle chiavi della quinta versione è ora abilitata forzatamente
- Quando si importa da un server LDAP, l'opzione di sola firma automatica è disabilitata per impostazione predefinita.
- gpg non utilizza più algoritmi di dimensione del blocco a 64 bit per la crittografia. L'uso di 3DES è vietato e AES è dichiarato come l'algoritmo minimo supportato. Per disabilitare la restrizione, puoi utilizzare l'opzione “--allow-old-cipher-algos”.
- L'utilità symcryptrun è stata rimossa (wrapper obsoleto sopra l'utilità esterna Chiasmus).
- Il metodo di rilevamento delle chiavi PKA legacy è stato interrotto e le opzioni ad esso associate sono state rimosse.
Fonte: opennet.ru