주요 서버에 대한 반격 변경 사항이 포함된 GnuPG 2.2.17 출시

게시 됨 툴킷 릴리스 그누PG 2.2.17 (GNU Privacy Guard), OpenPGP 표준과 호환됨(RFC-4880) 및 S/MIME을 제공하며 전자 서명, 키 관리 및 공개 키 저장소에 대한 액세스 작업을 수행하는 데이터 암호화용 유틸리티를 제공합니다. GnuPG 2.2 브랜치는 새로운 기능이 계속 추가되는 개발 릴리스로 포지셔닝되어 있으며 2.1 브랜치에서는 수정 사항만 허용됩니다.

새로운 문제는 이에 대한 대응책을 제안합니다. 주요 서버 공격, 문제가 있는 인증서가 로컬 저장소에서 삭제되거나 확인된 공개 키를 기반으로 인증서 저장소가 다시 생성될 때까지 GnuPG가 중단되고 작업을 계속할 수 없게 됩니다. 추가된 보호는 기본적으로 키 저장소 서버에서 받은 인증서의 모든 타사 디지털 서명을 완전히 무시하는 것을 기반으로 합니다. 모든 사용자는 임의의 인증서에 대한 자신의 디지털 서명을 키 저장소 서버에 추가할 수 있으며, 공격자는 이를 사용하여 피해자의 인증서에 대해 엄청난 수의 서명(10만 개 이상)을 생성합니다. GnuPG의 정상적인 작동을 방해합니다.

제3자 디지털 서명을 무시하는 것은 작성자의 서명만 키에 로드할 수 있도록 허용하는 "자체 서명 전용" 옵션으로 규제됩니다. 이전 동작을 복원하려면 gpg.conf에 "keyserver-options no-self-sigs-only,no-import-clean" 설정을 추가할 수 있습니다. 또한 작업 중에 로컬 저장소(pubring.kbx)의 오버플로를 유발하는 여러 블록 가져오기가 감지되면 오류를 표시하는 대신 GnuPG는 자동으로 디지털 서명 무시 모드("자체 서명")를 켭니다. -만, 수입-깨끗함”).

메커니즘을 사용하여 키를 업데이트하려면 웹 키 디렉토리 (WKD) 확인된 공개 키를 기반으로 인증서 저장소를 다시 만드는 데 사용할 수 있는 "--locate-external-key" 옵션을 추가했습니다. "--auto-key-retrieve" 작업을 수행할 때 이제 WKD 메커니즘이 키 서버보다 선호됩니다. WKD의 핵심은 우편 주소에 지정된 도메인에 대한 링크를 사용하여 웹에 공개 키를 배치하는 것입니다. 예를 들어, 주소 "[이메일 보호]"키는 "https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfceece9a5594e6039d5a" 링크를 통해 다운로드할 수 있습니다.

출처 : opennet.ru