Efter fem års utveckling presenteras utgivningen av GnuPG 2.4.0 (GNU Privacy Guard) verktygslåda, kompatibel med OpenPGP (RFC-4880) och S/MIME-standarder, och tillhandahåller verktyg för datakryptering, arbete med elektroniska signaturer, nyckel hantering och tillgång till offentliga lagringsnycklar.
GnuPG 2.4.0 är positionerad som den första utgåvan av en ny stabil gren, som innehåller förändringar som ackumulerats under förberedelserna av 2.3.x-utgåvor. Gren 2.2 har förpassats till den gamla stallgrenen, som kommer att stödjas fram till slutet av 2024. GnuPG 1.4-grenen fortsätter att upprätthållas som en klassisk serie som förbrukar minimala resurser, är lämplig för inbyggda system och är kompatibel med äldre krypteringsalgoritmer.
Viktiga ändringar i GnuPG 2.4 jämfört med den tidigare stabila grenen 2.2:
- En bakgrundsprocess har lagts till för att implementera en nyckeldatabas som använder SQLite DBMS för lagring och visar en betydligt snabbare sökning efter nycklar. För att aktivera det nya förvaret måste du aktivera alternativet "use-keyboxd" i common.conf.
- Lade till tpm2d-bakgrundsprocess för att tillåta TPM 2.0-chip att användas för att skydda privata nycklar och utföra kryptering eller digitala signaturer på TPM-modulsidan.
- Ett nytt gpg-kortverktyg har lagts till, som kan användas som ett flexibelt gränssnitt för alla smartkorttyper som stöds.
- Lade till nytt gpg-auth-verktyg för autentisering.
- Lade till en ny gemensam konfigurationsfil, common.conf, som används för att aktivera keyboxd-bakgrundsprocessen utan att lägga till inställningar för gpg.conf och gpgsm.conf separat.
- Stöd för den femte versionen av nycklar och digitala signaturer tillhandahålls, som använder SHA256-algoritmen istället för SHA1.
- Standardalgoritmerna för publika nycklar är ed25519 och cv25519.
- Tillagt stöd för AEAD-blockkrypteringslägena OCB och EAX.
- Tillagt stöd för X448 elliptiska kurvor (ed448, cv448).
- Tillåtet att använda gruppnamn i nyckellistor.
- Lade till alternativet "--chuid" till gpg, gpgsm, gpgconf, gpg-card och gpg-connect-agent för att ändra användar-ID.
- På Windows-plattformen implementeras fullständigt Unicode-stöd på kommandoraden.
- Lade till byggalternativ "--with-tss" för att välja TSS-biblioteket.
- gpgsm lägger till grundläggande ECC-stöd och möjligheten att skapa EdDSA-certifikat. Tillagt stöd för att dekryptera data krypterad med ett lösenord. Tillagt stöd för AES-GCM-dekryptering. Lade till nya alternativ "--ldapserver" och "--show-certs".
- Agenten tillåter användning av värdet "Label:" i nyckelfilen för att konfigurera PIN-prompten. Implementerat stöd för ssh-agent-tillägg för miljövariabler. Lade till Win32-OpenSSH-emulering via gpg-agent. För att skapa fingeravtryck av SSH-nycklar används SHA-256-algoritmen som standard. Lade till alternativen "--pinentry-formatted-passphrase" och "--check-sym-passphrase-pattern".
- Scd har förbättrat stöd för att arbeta med flera kortläsare och tokens. Möjligheten att använda flera applikationer med ett specifikt smartkort har implementerats. Tillagt stöd för PIV-kort, Telesec Signature Cards v2.0 och Rohde&Schwarz Cybersecurity. Lade till nya alternativ "--applikationsprioritet" och "--pcsc-delad".
- Alternativet "--show-configs" har lagts till i verktyget gpgconf.
- Ändringar i gpg:
- Lade till parametern "--list-filter" för att selektivt generera en lista med nycklar, till exempel "gpg -k --list-filter 'select=revoked-f && sub/algostr=ed25519′".
- Lade till nya kommandon och alternativ: "--quick-update-pref", "show-pref", "show-pref-verbose", "-export-filter export-revocs", "-full-timestrings", "-min - rsa-length", "--forbid-gen-key", "--override-compliance-check", "--force-sign-key" och "--no-auto-trust-new-key".
- Lagt till stöd för import av anpassade listor över återkallade certifikat.
- Verifiering av digitala signaturer har påskyndats 10 gånger eller mer.
- Verifieringsresultaten beror nu på alternativet "--avsändare" och ID för signaturskaparen.
- Lade till möjligheten att exportera Ed448-nycklar för SSH.
- Endast OCB-läge är tillåtet för AEAD-kryptering.
- Dekryptering utan offentlig nyckel är tillåten om ett smartkort är isatt.
- För algoritmerna ed448 och cv448 är skapandet av nycklar för den femte versionen nu tvångsaktiverat
- När du importerar från en LDAP-server är alternativet för enbart self-sigs inaktiverat som standard.
- gpg använder inte längre 64-bitars blockstorleksalgoritmer för kryptering. Användningen av 3DES är förbjuden och AES deklareras som den lägsta stödda algoritmen. För att inaktivera begränsningen kan du använda alternativet "--allow-old-cipher-algos".
- Symcryptrun-verktyget har tagits bort (föråldrat omslag ovanpå det externa Chiasmus-verktyget).
- Den äldre metoden för upptäckt av PKA-nyckel har avbrutits och alternativ som är kopplade till den har tagits bort.
Källa: opennet.ru