Vydanie GnuPG 2.4.0

Po piatich rokoch vývoja bol predstavený release nástroja GnuPG 2.4.0 (GNU Privacy Guard), ktorý je kompatibilný so štandardmi OpenPGP (RFC-4880) a S/MIME a poskytuje nástroje na šifrovanie dát, prácu s elektronickými podpismi, správu kľúčov a prístup k verejným úložiskám kľúčov.

GnuPG 2.4.0 sa prezentuje ako prvé vydanie novej stabilnej vetvy, ktorá zahŕňa zmeny nahromadené počas prípravy vydaní 2.3.x. Vetva 2.2 bola presunutá do kategórie starej stabilnej vetvy, ktorá bude podporovaná do konca roku 2024. Vetva GnuPG 1.4 sa naďalej udržiava ako klasická séria, spotrebúvajúca minimálne zdroje, vhodná pre zabudované systémy a kompatibilná so zastaranými algoritmami šifrovania.

Kľúčové zmeny v GnuPG 2.4 v porovnaní s predchádzajúcou stabilnou vetvou 2.2:

• Pridaný pozadový proces s implementáciou databázy kľúčov, ktorá využíva na ukladanie DBMS SQLite a demonštruje výrazne rýchlejšie vyhľadávanie kľúčov. Na aktiváciu nového úložiska je potrebné v common.conf povoliť možnosť „use-keyboxd“.
• Pridaný pozadový proces tpm2d, ktorý umožňuje používať čipy TPM 2.0 na ochranu súkromných kľúčov a na vykonávanie operácií šifrovania alebo tvorby digitálnych podpisov na strane modulu TPM.
• Pridaný nový nástroj gpg-card, ktorý môže slúžiť ako flexibilné rozhranie pre všetky podporované typy smart kariet.
• Pridaný nový nástroj gpg-auth na autentifikáciu.
• Pridaný nový zdieľaný konfiguračný súbor common.conf, ktorý je použitý na aktiváciu pozadového procesu keyboxd bez samostatného pridania nastavení do gpg.conf a gpgsm.conf.
• Zabezpečená podpora piatej verzie kľúčov a digitálnych podpisov, v ktorej sa používa algoritmus SHA256 namiesto SHA1.
• Ako predvolené algoritmy pre otvorené kľúče sú použité ed25519 a cv25519.
• Pridaná podpora AEAD režimov blokového šifrovania OCB a EAX.
• Pridaná podpora eliptických kriviek X448 (ed448, cv448).
• Povolené používanie názvov skupín v zoznamoch kľúčov.
• V gpg, gpgsm, gpgconf, gpg-card a gpg-connect-agent bola pridaná možnosť „—chuid“ na zmenu identifikátora používateľa.
• Na platforme Windows bola implementovaná úplná podpora Unicode v príkazovom riadku.
• Pridaná konfiguračná možnosť „—with-tss“ na výber knižnice TSS.
• V gpgsm bola pridaná základná podpora ECC a možnosť vytvárania certifikátov EdDSA. Pridaná podpora dekódovania údajov zašifrovaných pomocou hesla. Pridaná podpora dekódovania AES-GCM. Pridané nové možnosti „—ldapserver“ a „—show-certs“.
• V agentovi je povolené používanie hodnoty „Label:“ vo vrstvách pre nastavenie výzvy na zadanie PIN kódu. Realizovaná podpora rozšírení ssh-agent pre premenné prostredia. Pridaná emulácia Win32-OpenSSH cez gpg-agent. Pre vytváranie otlačkov SSH kľúčov sa predvolene používa algoritmus SHA-256. Pridané možnosti „—pinentry-formatted-passphrase“ a „—check-sym-passphrase-pattern“.
• V scd bola zlepšená podpora práce s viacerými čítačkami kariet a tokenmi. Realizovaná možnosť používania viacerých aplikácií s určitými smart kartami. Pridaná podpora kariet PIV, Telesec Signature Cards v2.0 a Rohde&Schwarz Cybersecurity. Pridané nové možnosti „—application-priority“ a „—pcsc-shared“.
• Do nástroja gpgconf bola pridaná možnosť „—show-configs“.
• Zmeny v gpg:
  • Pridaný parameter „—list-filter“ na selektívne generovanie zoznamu kľúčov, napríklad „gpg -k —list-filter ‘select=revoked-f && sub/algo=ed25519‘“.
  • Pridané nové príkazy a možnosti: „—quick-update-pref“, „show-pref“, „show-pref-verbose“, „—export-filter export-revocs“, „—full-timestrings“, „—min-rsa-length“, „—forbid-gen-key“, „—override-compliance-check“, „—force-sign-key“ a „—no-auto-trust-new-key“.
  • Pridaná podpora pre import ľubovoľných zoznamov odvolaných certifikátov.
  • Overenie digitálnych podpisov bolo zrýchlené viac ako 10-krát.
  • Výsledky overenia teraz závisia od možnosti „—sender“ a identifikátora tvorcu podpisu.
  • Pridaná možnosť exportovať kľúče Ed448 pre SSH.
  • Povolené je používanie iba režimu OCB pri AEAD šifrovaní.
  • Povolené je dešifrovanie bez verejného kľúča pri zasunutej smart karte.
  • Pre algoritmy ed448 a cv448 je teraz vynútené vytváranie kľúčov piatej verzie.
  • Pri importe z servera LDAP je predvolene vypnuté použitie možnosti self-sigs-only.
• V gpg sa prestalo používať na šifrovanie algoritmy s veľkosťou bloku 64 bitov. Používanie 3DES je zakázané a ako minimálne podporovaný algoritmus bol vyhlásený AES. Na vypnutie obmedzenia je možné použiť možnosť „—allow-old-cipher-algos“.
• Odstránený nástroj symcryptrun (zastaralé obalenie nad vonkajším nástrojom Chiasmus).
• Podpora zastaraného metódy zistenia kľúčov PKA bola ukončená a odstránili sa s ňou súvisiace možnosti.

Zdroj: opennet.ru