שחרור של GnuPG 2.2.17 עם שינויים להתקפות נגד על שרתי מפתח

יצא לאור שחרור ערכת כלים GnuPG 2.2.17 (GNU Privacy Guard), תואם לתקני OpenPGP (RFC-4880) ו-S/MIME, ומספקת כלי עזר להצפנת נתונים, עבודה עם חתימות אלקטרוניות, ניהול מפתחות וגישה למאגרי מפתחות ציבוריים. נזכיר שענף GnuPG 2.2 ממוקם כגרסת פיתוח שבה ממשיכים להתווסף תכונות חדשות; רק תיקונים מתקינים מותרים בענף 2.1.

הגיליון החדש מציע אמצעים להתמודדות התקפה על שרתי מפתח, מה שמוביל לתלייה של GnuPG וחוסר יכולת להמשיך לעבוד עד שהאישור הבעייתי נמחק מהחנות המקומית או שמאגר האישורים נוצר מחדש על סמך מפתחות ציבוריים מאומתים. ההגנה הנוספת מבוססת על התעלמות מוחלטת כברירת מחדל מכל החתימות הדיגיטליות של צד שלישי של אישורים שהתקבלו משרתי אחסון מפתחות. נזכיר שכל משתמש יכול להוסיף חתימה דיגיטלית משלו לאישורים שרירותיים לשרת אחסון המפתחות, המשמש את התוקפים ליצירת מספר עצום של חתימות כאלה (יותר ממאה אלף) עבור תעודת הקורבן, שעיבודה משבש את הפעולה הרגילה של GnuPG.

התעלמות מחתימות דיגיטליות של צד שלישי מוסדרת על ידי אפשרות "עצמי בלבד", המאפשרת לטעון רק חתימות של היוצרים עצמם עבור מפתחות. כדי לשחזר את ההתנהגות הישנה, ​​אתה יכול להוסיף את ההגדרה "שרת-מפתח-אפשרויות no-self-sigs-only,no-import-clean" ל-gpg.conf. יתרה מכך, אם במהלך הפעולה מזוהה ייבוא ​​של מספר בלוקים, מה שיגרום לגלישה של האחסון המקומי (pubring.kbx), במקום הצגת שגיאה, GnuPG מפעיל אוטומטית את מצב ההתעלמות מחתימות דיגיטליות ("עצמי-sigs". -בלבד,ייבוא-נקי").

לעדכון מפתחות באמצעות המנגנון ספריית מפתחות אינטרנט (WKD) נוספה אפשרות "--locate-external-key" שניתן להשתמש בה כדי ליצור מחדש את מאגר האישורים בהתבסס על מפתחות ציבוריים מאומתים. בעת ביצוע פעולת "--auto-key-retrieve", מנגנון WKD מועדף כעת על פני שרתי מפתח. המהות של WKD היא למקם מפתחות ציבוריים באינטרנט עם קישור לדומיין המצוין בכתובת הדואר. לדוגמה, עבור הכתובת "[מוגן בדוא"ל]"ניתן להוריד את המפתח דרך הקישור "https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfceece9a5594e6039d5a".

מקור: OpenNet.ru