Após cinco anos de desenvolvimento, é apresentado o lançamento do GnuPG 2.4.0 (GNU Privacy Guard), compatível com os padrões OpenPGP (RFC-4880) e S/MIME, e que oferece utilitários para criptografia de dados, manipulação de assinaturas eletrônicas, gerenciamento de chaves e acesso a repositórios públicos de chaves.
O GnuPG 2.4.0 é posicionado como o primeiro lançamento de uma nova versão estável, que incorpora as mudanças acumuladas durante a preparação dos lançamentos 2.3.x. A versão 2.2 foi transferida para a categoria de versão estável antiga, que será suportada até o final de 2024. A versão GnuPG 1.4 continua a ser mantida como uma série clássica, consumindo recursos mínimos, adequada para sistemas embarcados e compatível com algoritmos de criptografia obsoletos.
Mudanças principais no GnuPG 2.4 em comparação com a versão estável anterior 2.2:
- Adicionado um processo em segundo plano com a implementação de um banco de dados de chaves, utilizando o banco de dados SQLite para armazenamento e demonstrando uma busca de chaves significativamente mais rápida. Para ativar o novo armazenamento, deve-se habilitar a opção 'use-keyboxd' no arquivo common.conf.
- Adicionado um processo em segundo plano tpm2d, permitindo o uso de chips TPM 2.0 para proteger chaves privadas e executar operações de criptografia ou criar assinaturas digitais do lado do módulo TPM.
- Adicionado um novo utilitário gpg-card, que pode ser usado como uma interface flexível para todos os tipos suportados de smart cards.
- Adicionado um novo utilitário gpg-auth para autenticação.
- Adicionado um novo arquivo de configuração comum, common.conf, que é utilizado para ativar o processo em segundo plano keyboxd sem a necessidade de adicionar configurações separadamente nos arquivos gpg.conf e gpgsm.conf.
- Suporte adicionado à quinta versão de chaves e assinaturas digitais, que utiliza o algoritmo SHA256 em vez do SHA1.
- Os algoritmos padrão para chaves públicas agora são ed25519 e cv25519.
- Suporte adicionado para modos de criptografia de bloco AEAD OCB e EAX.
- Suporte adicionado para curvas elípticas X448 (ed448, cv448).
- Permitido o uso de nomes de grupos em listas de chaves.
- Em gpg, gpgsm, gpgconf, gpg-card e gpg-connect-agent, adicionada a opção '—chuid' para mudar o identificador de usuário.
- Na plataforma Windows, implementado total suporte a Unicode no prompt de comando.
- Adicionada opção de compilação '—with-tss' para escolher a biblioteca TSS.
- No gpgsm foi adicionada a suporte básico para ECC e a capacidade de criar certificados EdDSA. Foi adicionada a capacidade de descriptografar dados criptografados usando uma senha. Foi adicionada a suporte para descriptografia AES-GCM. Novas opções «—ldapserver» e «—show-certs» foram adicionadas.
- No agente, foi permitido o uso do valor «Label:» no arquivo de chaves para configurar o prompt de entrada do PIN. Foi implementado o suporte para extensões do ssh-agent para variáveis de ambiente. Foi adicionada emulação do Win32-OpenSSH através do gpg-agent. O algoritmo SHA-256 é agora utilizado por padrão para criar impressões digitais de chaves SSH. As opções «—pinentry-formatted-passphrase» e «—check-sym-passphrase-pattern» foram adicionadas.
- No scd, melhorou-se o suporte ao trabalho com vários leitores de cartão e tokens. Agora é possível usar vários aplicativos com um smart card específico. Foi adicionada a suporte para cartões PIV, Telesec Signature Cards v2.0 e Rohde&Schwarz Cybersecurity. Novas opções «—application-priority» e «—pcsc-shared» foram adicionadas.
- Na utilidade gpgconf, a opção «—show-configs» foi adicionada.
- Alterações no gpg:
- Adicionado o parâmetro «—list-filter» para gerar uma lista de chaves de forma seletiva, por exemplo, «gpg -k —list-filter ‘select=revoked-f && sub/algostr=ed25519’».
- Novos comandos e opções foram adicionados: «—quick-update-pref», «show-pref», «show-pref-verbose», «—export-filter export-revocs», «—full-timestrings», «—min-rsa-length», «—forbid-gen-key», «—override-compliance-check», «—force-sign-key» e «—no-auto-trust-new-key».
- Adicionada a suporte para importação de listas arbitrárias de certificados revogados.
- A verificação de assinaturas digitais foi acelerada em 10 vezes ou mais.
- Os resultados da verificação agora dependem da opção «—sender» e do identificador do criador da assinatura.
- Adicionada a possibilidade de exportar chaves Ed448 para SSH.
- Apenas o modo OCB é permitido na criptografia AEAD.
- A descriptografia sem a chave pública é permitida quando um smart card está inserido.
- Para os algoritmos ed448 e cv448, a criação de chaves da quinta versão agora é forçada.
- Ao importar de servidor O uso da opção self-sigs-only está desativado por padrão no LDAP.
- No gpg, o uso de algoritmos de criptografia com tamanho de bloco de 64 bits foi descontinuado. O uso de 3DES foi proibido e o AES foi declarado como o algoritmo mínimo suportado. Para desativar essa restrição, a opção «—allow-old-cipher-algos» pode ser utilizada.
- A ferramenta symcryptrun foi removida (interface desatualizada sobre a ferramenta externa Chiasmus).
- O suporte ao método obsoleto de detecção de chaves PKA foi encerrado e as opções relacionadas foram removidas.
Fonte: opennet.ru
