Доступен (https://www.mail-archive.com/info-gnu@gnu.org/msg02383....) релиз инструментария GnuPG 2.2.4 (GNU Privacy Guard), совместимого со стандартами OpenPGP (RFC-4880 (https://tools.ietf.org/html/rfc4880)) и S/MIME, и предоставляющего утилиты для шифрования данных, работы с электронными подписями, управления ключами и доступа к публичным хранилищам ключей. Напомним, что ветка GnuPG 2.2 позиционируется как развивающийся выпуск, в котором продолжают добавляться новые возможности, в ветке 2.1 допускаются только корректирующие исправления.Основные изменения:
- Изменены настройки по умолчанию, в качестве предпочитаемого алгоритма хэширования теперь применяется SHA512;
- Обеспечен вывод предупрежденения, если шифр с размером блока 64 бит применяется для шифрования данных, размером более 150 Мб;
- Добавлено предупреждение, если MDC (код проверки целостности) не применяется для сообщения;- Добавлена опция "--auto-expand-secmem", позволяющая оптимизировать работу при большом числе одновременных соединений. Опция имеет смысл только при использовании libgcrypt 1.8.2;
- В dirmngr реализована возможность отдачи ответа на запросы WKD из кэша;
- В gpgconf добавлена опция "--status-fd";
- В gpg-wks-server добавлены команды "--check" и "--remove-key";
- До 64 увеличен размер очереди ожидающих соединений (опция "--listen-backlog");- В configure добавлена опция "--enable-run-gnupg-user-socket" для проверки каталога с сокетом, которая может остаться неочищенной после завершения сеанса systemd.
URL: https://www.mail-archive.com/info-gnu@gnu.org/msg02383....
Новость: https://www.opennet.ru/opennews/art.shtml?num=47779
не очень понятно, почему потерли мессаги об уязвимости в Libgcrypt < 1.7.7
Потому что первое сообщение треда было набросом, очевидно же.
> Потому что первое сообщение треда было набросом, очевидно же.С качественными пруфами?
Единственный пруф был некачественный. Ибо речь там шла о трудно эксплуатируемой уязвимости, а подавалось так, будто там дыра на дыре.
>> Потому что первое сообщение треда было набросом, очевидно же.
> С качественными пруфами?Нет. С _тупыми_ над-набросами. Как первое сообщеение в этой ветви.
И хватит уже форсить свои недопруфы. Если в каком-то софте не находили уязвимостей, это значит только то, что никто и не искал. А если находили, это вовсе не значит, что кто-то когда-то реально их эксплуатировал.
> С качественными пруфами?Нет, там шла речь про уязвимость, которая описана в четвёртой ссылке под новостью https://www.opennet.ru/opennews/art.shtml?num=44988 Но были указаны ссылки на левые сайты, где все было перевернутой с ног на голову и представлено как вселенская дыра.
Нет, вроде вот эта https://www.securityfocus.com/bid/99338/discuss C...В которой https://eprint.iacr.org/2017/627.pdf говориться о том, что для взлома rsa-1024 нужено мониторить состояние той машины в момент шифрования. Т.е. открытого ключа и зашифрованного текста не достаточно.
Да, она. Я промахнулся и ссылку не ту скопировал
Правильная https://www.opennet.ru/opennews/art.shtml?num=46812
Место GnuPG на отдельно стоящей машине не подключённой к сети!