Keluaran GnuPG 2.2.17 dengan perubahan kepada serangan balas pada pelayan utama

diterbitkan keluaran toolkit GnuPG 2.2.17 (GNU Privacy Guard), serasi dengan standard OpenPGP (RFC-4880) dan S/MIME, dan menyediakan utiliti untuk penyulitan data, bekerja dengan tandatangan elektronik, pengurusan kunci dan akses kepada stor kunci awam. Ingat bahawa cawangan GnuPG 2.2 diletakkan sebagai keluaran pembangunan di mana ciri baharu terus ditambah; hanya pembetulan pembetulan dibenarkan dalam cawangan 2.1.

Isu baru mencadangkan langkah-langkah untuk mengatasi menyerang pelayan utama, membawa kepada penggantungan GnuPG dan ketidakupayaan untuk terus bekerja sehingga sijil yang bermasalah dipadamkan daripada kedai tempatan atau stor sijil dicipta semula berdasarkan kunci awam yang disahkan. Perlindungan tambahan adalah berdasarkan mengabaikan sepenuhnya secara lalai semua tandatangan digital pihak ketiga sijil yang diterima daripada pelayan storan utama. Mari kita ingat bahawa mana-mana pengguna boleh menambah tandatangan digitalnya sendiri untuk sijil sewenang-wenangnya ke pelayan storan utama, yang digunakan oleh penyerang untuk mencipta sejumlah besar tandatangan sedemikian (lebih daripada seratus ribu) untuk sijil mangsa, yang pemprosesannya mengganggu operasi biasa GnuPG.

Mengabaikan tandatangan digital pihak ketiga dikawal oleh pilihan "self-sigs-only", yang membenarkan hanya tandatangan pencipta sendiri dimuatkan untuk kunci. Untuk memulihkan gelagat lama, anda boleh menambah tetapan "pilihan-pelayan-kekunci no-self-sigs-only,no-import-clean" pada gpg.conf. Selain itu, jika semasa operasi import beberapa blok dikesan, yang akan menyebabkan limpahan storan tempatan (pubring.kbx), dan bukannya memaparkan ralat, GnuPG secara automatik menghidupkan mod mengabaikan tandatangan digital ("self-sigs -sahaja, import-bersih”).

Untuk mengemas kini kunci menggunakan mekanisme Direktori Kunci Web (WKD) Menambah pilihan "--locate-external-key" yang boleh digunakan untuk mencipta semula stor sijil berdasarkan kunci awam yang disahkan. Apabila melakukan operasi "--auto-key-retrieve", mekanisme WKD kini diutamakan berbanding pelayan kunci. Intipati WKD adalah untuk meletakkan kunci awam di web dengan pautan ke domain yang dinyatakan dalam alamat pos. Sebagai contoh, untuk alamat "[e-mel dilindungi]"Kunci boleh dimuat turun melalui pautan "https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfceece9a5594e6039d5a".

Sumber: opennet.ru