Na vijf jaar ontwikkeling is de release van de GnuPG 2.4.0 (GNU Privacy Guard) toolkit gepresenteerd, die compatibel is met de OpenPGP (RFC-4880) en S/MIME-standaarden, en gereedschappen biedt voor gegevensversleuteling, werken met digitale handtekeningen, sleutelbeheer en toegang tot openbare sleutelopslag.
GnuPG 2.4.0 wordt gepositioneerd als de eerste release van een nieuwe stabiele tak, die de wijzigingen heeft samengebracht die zijn opgehoopt tijdens de voorbereiding van de releases 2.3.x. Tak 2.2 is overgezet naar een oude stabiele tak, die tot eind 2024 zal worden ondersteund. De GnuPG 1.4 tak blijft ondersteund als een klassieke serie, die minimale middelen verbruikt, geschikt is voor embedded systemen en compatibel is met verouderde versleutelingsalgoritmen.
Belangrijkste wijzigingen in GnuPG 2.4 ten opzichte van de vorige stabiele tak 2.2:
- Een achtergrondproces is toegevoegd met een implementatie van de sleuteldatabase, die de SQLite-database voor opslag gebruikt en aanzienlijk snellere zoekopdrachten naar sleutels demonstreert. Om de nieuwe opslag te activeren, moet de optie 'use-keyboxd' in common.conf worden ingeschakeld.
- Een achtergrondproces tpm2d is toegevoegd, dat het mogelijk maakt om TPM 2.0-chips te gebruiken voor de bescherming van privésleutels en voor versleuteling of digitale handtekeningen op de TPM-module.
- Een nieuwe hulpprogramma gpg-card is toegevoegd, dat kan worden gebruikt als een flexibele interface voor alle ondersteunde soorten smartcards.
- Een nieuwe hulpprogramma gpg-auth voor authenticatie is toegevoegd.
- Een nieuw algemeen configuratiebestand common.conf is toegevoegd, dat wordt gebruikt om het achtergrondproces keyboxd in te schakelen zonder afzonderlijk instellingen in gpg.conf en gpgsm.conf toe te voegen.
- Ondersteuning voor de vijfde versie van sleutels en digitale handtekeningen is gegarandeerd, waarbij het SHA256-algoritme in plaats van SHA1 wordt gebruikt.
- Als standaardalgoritmen voor openbare sleutels worden ed25519 en cv25519 gebruikt.
- Ondersteuning voor AEAD-modi van blokversleuteling OCB en EAX is toegevoegd.
- Ondersteuning voor elliptische krommen X448 (ed448, cv448) is toegevoegd.
- Het gebruik van groepsnamen in sleutellijsten is toegestaan.
- In gpg, gpgsm, gpgconf, gpg-card en gpg-connect-agent is de optie '--chuid' toegevoegd voor het wijzigen van de gebruikers-id.
- Op het Windows-platform is volledige Unicode-ondersteuning in de opdrachtregel geïmplementeerd.
- Een bouwoptie '--with-tss' is toegevoegd om de TSS-bibliotheek te selecteren.
- In gpgsm is er basisondersteuning voor ECC toegevoegd, evenals de mogelijkheid om EdDSA-certificaten te creëren. Ondersteuning voor het ontsleutelen van gegevens die met een wachtwoord zijn versleuteld, is toegevoegd. Ondersteuning voor het ontsleutelen van AES-GCM is toegevoegd. Nieuwe opties «—ldapserver» en «—show-certs» zijn toegevoegd.
- In de agent is het gebruik van de waarde «Label:» in de sleutelbestanden voor het instellen van de PIN-codeprompt toegestaan. Ondersteuning voor ssh-agent-extensies voor omgevingsvariabelen is geïmplementeerd. Win32-OpenSSH-emulatie via gpg-agent is toegevoegd. Voor het maken van fingerprint-afdrukken van SSH-sleutels wordt standaard het algoritme SHA-256 gebruikt. De opties «—pinentry-formatted-passphrase» en «—check-sym-passphrase-pattern» zijn toegevoegd.
- In scd is de ondersteuning voor het gebruik van meerdere kaartlezers en tokens verbeterd. De mogelijkheid om meerdere applicaties met een bepaalde smartcard te gebruiken is geïmplementeerd. Ondersteuning voor PIV-kaarten, Telesec Signature Cards v2.0 en Rohde&Schwarz Cybersecurity is toegevoegd. Nieuwe opties «—application-priority» en «—pcsc-shared» zijn toegevoegd.
- In de gpgconf-utility is de optie «—show-configs» toegevoegd.
- Wijzigingen in gpg:
- De parameter «—list-filter» is toegevoegd voor het selectief genereren van een sleutellijst, bijvoorbeeld «gpg -k —list-filter ‘select=revoked-f && sub/algostr=ed25519’».
- Nieuwe commando's en opties zijn toegevoegd: «—quick-update-pref», «show-pref», «show-pref-verbose», «—export-filter export-revocs», «—full-timestrings», «—min-rsa-length», «—forbid-gen-key», «—override-compliance-check», «—force-sign-key» en «—no-auto-trust-new-key».
- Ondersteuning voor het importeren van willekeurige lijsten van ingetrokken certificaten is toegevoegd.
- De controle van digitale handtekeningen is tot 10 keer versneld.
- De resultaten van de controle hangen nu af van de optie «—sender» en de ID van de maker van de handtekening.
- De mogelijkheid om Ed448-sleutels voor SSH te exporteren is toegevoegd.
- Alleen de OCB-modus is toegestaan bij AEAD-versleuteling.
- Ontsleuteling zonder publieke sleutel is toegestaan bij het insteken van de smartcard.
- Voor de algoritmen ed448 en cv448 wordt nu verplicht sleutel generatie in versie vijf geactiveerd.
- Bij import vanuit de server LDAP is de toepassing van de optie self-sigs-only standaard uitgeschakeld.
- In gpg is het gebruik van algoritmes voor versleuteling met een blokgrootte van 64 bits gestopt. Het gebruik van 3DES is verboden, en AES is verklaard als het minimaal ondersteunde algoritme. De beperking kan worden uitgeschakeld met de optie «—allow-old-cipher-algos».
- De symcryptrun-utility (verouderde wrapper over de externe utility Chiasmus) is verwijderd.
- De ondersteuning voor de verouderde PKA-sleutelherkenningsmethode is beëindigd en de bijbehorende opties zijn verwijderd.
Bron: opennet.ru
