LibrePGP, garpu OpenPGP yang dikemas kini

Pembangun dan penyelenggara utama alat penyulitan dan tandatangan Pembangun dan penyelenggara utama, Werner Koch menjadikannya diketahui beberapa hari lepas berita tentangPenciptaan projek LibrePGP, iaitu garfu menumpukan pada membangunkan spesifikasi alternatif yang dikemas kini kepada standard OpenPGP.

Disebutkan bahawa dalam sebab-sebabnya daripada penciptaan garpu ini Ia nampaknya sebagai tindak balas kepada pertikaian dalam Pasukan Petugas Kejuruteraan Internet (IETF) mengenai pembangunan masa depan standard OpenPGP, kerana Koch menganggap kemas kini yang akan datang kepada spesifikasi OpenPGP sebagai dipersoalkan dari sudut keserasian dan keselamatan.

Menurut Koch:

Titik permulaan untuk pengasingan kerja dalam IETF dan untuk permulaan LibrePGP ialah kemas kini yang dirancang kepada standard OpenPGP (RFC 4880) adalah "memudaratkan penggunaan perisian OpenPGP semasa," katanya. Dalam Iklan dia tulis. Tanpa pergi ke butiran teknikal tertentu, pertikaian itu kembali kepada persoalan bagaimana untuk menyesuaikan standard OpenPGP semasa untuk masa hadapan.

Dan sayaETF, bukannya mengemas kini spesifikasi secara beransur-ansur, cuba mencipta semula standard dan buat perubahan ketara padanya yang melanggar kebolehoperasian, selain mengenakan sokongan untuk mod penyulitan simetri GCM, yang sukar dilaksanakan dengan betul, mengabaikan OCB (mod buku kod Offset), yang patennya telah tamat tempoh beberapa tahun lalu.

Pembangun projek GnuPG, RNP (pelaksanaan Thunderbird OpenPGP) dan Gpg4win yang menyokong fork bimbang perubahan yang dirancang akan memudaratkan pelaksanaan sedia ada aplikasi berasaskan OpenPGP, yang pengguna menjangkakan spesifikasinya stabil dalam jangka panjang. tidak bersedia untuk menyokong perubahan yang memecahkan keserasian.

Di samping itu, Pencipta LibrePGP mempersoalkan menambah pakej pilihan dengan padding rawak untuk melindungi daripada analisis lalu lintas. Menurut mereka, paket ini dengan pengisian rawak awal yang tidak boleh disahkan menimbulkan ancaman untuk digunakan untuk mencipta saluran penghantaran data tersembunyi dan memintas sistem pencegahan kebocoran data. Sebelum ini, idea untuk memasukkan pelapik telah ditolak sebagai isu peringkat aplikasi dan bukannya isu peringkat penyulitan.

Selain itu, Mereka juga mempersoalkan penggunaan skim penyulitan ECDH yang diubah suai, dan bukannya menggunakan pilihan yang telah diterangkan dalam RFC-6637 dan dilaksanakan dalam PGP dan GnuPG, serta penghapusan beberapa ciri praktikal, seperti kaedah pembatalan kunci klasik, bendera "m" untuk menandakan data MIME dan "t bendera ” untuk memisahkan teks daripada data binari (bendera “t” telah digantikan dengan bendera “u” untuk teks yang dikodkan UTF-8).

Memandangkan ini dan isu-isu lain, adalah sebab untuk penciptaan LibrePGP, yang disebut sebagai menggabungkan penambahbaikan berguna yang telah dibangunkan dalam beberapa tahun kebelakangan ini untuk versi masa depan spesifikasi OpenPGP, tetapi mengelakkan perubahan yang akan menjejaskan keserasian secara negatif. Sebagai contoh, berbanding dengan standard RFC-4880 semasa, LibrePGP telah menggunakan ciri berikut:

• Sokongan untuk algoritma penyulitan Camellia (RFC-5581),
• Sambungan ECC (Elliptic Curve Cryptography) untuk OpenPGP (RFC-6637).
• Sokongan mandatori untuk cincang SHA2-256 (SHA-1 dan MD5 diklasifikasikan sebagai tidak disyorkan dan keupayaan untuk menyahsulit data tanpa semakan integriti diklasifikasikan sebagai tidak digunakan sepenuhnya).
• Meningkatkan saiz cap jari kepada 256 bit.
• Menyokong skim tandatangan digital EdDSA dan skema tandatangan lengkung eliptik BrainpoolP256r1, BrainpoolP384r1, BrainpoolP512r1, Ed25519, Curve25519, Ed488 dan X448.
• Sokongan untuk algoritma CRYSTALS-Kyber, yang tahan terhadap pemilihan dalam komputer kuantum.
• Sokongan untuk mod penyulitan disahkan OCB (Mod Buku Kod Offset).
• Pelaksanaan versi kelima format tandatangan digital dengan perlindungan metadata.
• Sokongan untuk subpakej lanjutan dengan tandatangan digital.

Akhir sekali, ia patut disebut bahawa penyokong OpenPGP Mereka sudah pun menerbitkan kritikan demi kritikan. Akibatnya, jika kompromi tidak ditemui, pemisahan boleh menyebabkan peningkatan ketidakserasian dalam pelaksanaan OpenPGP/LibrePGP. Untuk menyelesaikan sebahagian masalah ini, pembangun OpenPGP membetulkan versi kelima format tandatangan sebagai serasi dengan LibrePGP dan terus bekerja pada versi keenam.

Jika anda berminat untuk mengetahui lebih lanjut mengenainya, anda boleh menyemak perinciannya Dalam pautan berikut.