Após cinco anos de desenvolvimento, é apresentado o lançamento do kit de ferramentas GnuPG 2.4.0 (GNU Privacy Guard), compatível com os padrões OpenPGP (RFC-4880) e S/MIME, e fornecendo utilitários para criptografia de dados, trabalhando com assinaturas eletrônicas, chaves gerenciamento e acesso a chaves de armazenamento público.
O GnuPG 2.4.0 está posicionado como o primeiro lançamento de uma nova ramificação estável, que incorpora mudanças acumuladas durante a preparação das versões 2.3.x. O branch 2.2 foi relegado ao antigo branch estável, que terá suporte até o final de 2024. A ramificação GnuPG 1.4 continua sendo mantida como uma série clássica que consome recursos mínimos, é adequada para sistemas embarcados e é compatível com algoritmos de criptografia legados.
Principais mudanças no GnuPG 2.4 em comparação com o branch estável anterior 2.2:
- Um processo em segundo plano foi adicionado para implementar um banco de dados de chaves, usando o SGBD SQLite para armazenamento e demonstrando uma busca de chaves significativamente mais rápida. Para habilitar o novo repositório, você deve habilitar a opção “use-keyboxd” em common.conf.
- Adicionado processo em segundo plano tpm2d para permitir que chips TPM 2.0 sejam usados para proteger chaves privadas e executar operações de criptografia ou assinatura digital no lado do módulo TPM.
- Foi adicionado um novo utilitário gpg-card, que pode ser usado como uma interface flexível para todos os tipos de cartões inteligentes suportados.
- Adicionado novo utilitário gpg-auth para autenticação.
- Adicionado um novo arquivo de configuração comum, common.conf, que é usado para ativar o processo em segundo plano do keyboxd sem adicionar configurações a gpg.conf e gpgsm.conf separadamente.
- É fornecido suporte para a quinta versão de chaves e assinaturas digitais, que usa o algoritmo SHA256 em vez de SHA1.
- Os algoritmos padrão para chaves públicas são ed25519 e cv25519.
- Adicionado suporte para modos de criptografia de bloco AEAD OCB e EAX.
- Adicionado suporte para curvas elípticas X448 (ed448, cv448).
- Tem permissão para usar nomes de grupos em listas de chaves.
- Adicionada opção "--chuid" ao gpg, gpgsm, gpgconf, gpg-card e gpg-connect-agent para alterar o ID do usuário.
- Na plataforma Windows, o suporte completo a Unicode é implementado na linha de comando.
- Adicionada opção de compilação "--with-tss" para selecionar a biblioteca TSS.
- gpgsm adiciona suporte ECC básico e a capacidade de criar certificados EdDSA. Adicionado suporte para descriptografar dados criptografados usando uma senha. Adicionado suporte para descriptografia AES-GCM. Adicionadas novas opções "--ldapserver" e "--show-certs".
- O agente permite o uso do valor "Label:" no arquivo de chave para configurar o prompt do PIN. Implementado suporte para extensões ssh-agent para variáveis de ambiente. Adicionada emulação Win32-OpenSSH via gpg-agent. Para criar impressões digitais de chaves SSH, o algoritmo SHA-256 é usado por padrão. Adicionadas opções "--pinentry-formatted-passphrase" e "--check-sym-passphrase-pattern".
- O Scd melhorou o suporte para trabalhar com vários leitores de cartões e tokens. Foi implementada a capacidade de usar vários aplicativos com um cartão inteligente específico. Adicionado suporte para cartões PIV, Telesec Signature Cards v2.0 e Rohde&Schwarz Cybersecurity. Adicionadas novas opções "--application-priority" e "--pcsc-shared".
- A opção "--show-configs" foi adicionada ao utilitário gpgconf.
- Mudanças no gpg:
- Adicionado parâmetro "--list-filter" para gerar seletivamente uma lista de chaves, por exemplo "gpg -k --list-filter 'select=revoked-f && sub/algostr=ed25519′".
- Adicionados novos comandos e opções: "--quick-update-pref", "show-pref", "show-pref-verbose", "-export-filter export-revocs", "-full-timestrings", "-min - comprimento rsa", "--forbid-gen-key", "--override-compliance-check", "--force-sign-key" e "--no-auto-trust-new-key".
- Adicionado suporte para importação de listas personalizadas de certificados revogados.
- A verificação de assinaturas digitais foi acelerada 10 vezes ou mais.
- Os resultados da verificação agora dependem da opção “--sender” e do ID do criador da assinatura.
- Adicionada a capacidade de exportar chaves Ed448 para SSH.
- Somente o modo OCB é permitido para criptografia AEAD.
- A descriptografia sem chave pública é permitida se um cartão inteligente for inserido.
- Para os algoritmos ed448 e cv448, a criação de chaves da quinta versão agora está habilitada à força
- Ao importar de um servidor LDAP, a opção somente autoassinatura fica desabilitada por padrão.
- gpg não usa mais algoritmos de tamanho de bloco de 64 bits para criptografia. O uso de 3DES é proibido e o AES é declarado como o algoritmo mínimo suportado. Para desabilitar a restrição, você pode usar a opção “--allow-old-cipher-algos”.
- O utilitário symcryptrun foi removido (wrapper desatualizado sobre o utilitário Chiasmus externo).
- O método legado de descoberta de chave PKA foi descontinuado e as opções associadas a ele foram removidas.
Fonte: opennet.ru