LibrePGP, OpenPGP'nin güncellenmiş bir çatalı

Şifreleme ve imzalama aracının ana geliştiricisi ve sürdürücüsü Werner Koch'un ana geliştiricisi ve sürdürücüsü bilinir kıldı birkaç gün önce bir haberLibrePGP projesinin oluşturulması, hangisi bir çatal güncellenmiş bir alternatif spesifikasyon geliştirmeye odaklandı OpenPGP standardına göre.

Bundan bahsediliyor sebepler dahilinde bu çatalın yaratılışından Görünüşe göre bir anlaşmazlığa yanıt olarak İnternet Mühendisliği Görev Gücü bünyesinde (IETF) OpenPGP standardının gelecekteki gelişimi hakkındaKoch, OpenPGP spesifikasyonuna gelecek güncellemeyi uyumluluk ve güvenlik açısından şüpheli olarak algıladı.

Koch'a göre:

IETF içindeki işlerin ayrılması ve LibrePGP'nin başlatılması için başlangıç ​​noktasının, OpenPGP standardında (RFC 4880) yapılması planlanan güncellemelerin "OpenPGP yazılımının mevcut kullanımına zararlı" olduğunu belirtti. İlanda yazıyor. Spesifik teknik detaylara girmeden tartışma, mevcut OpenPGP standardının geleceğe nasıl uyarlanacağı sorusuna geri dönüyor.

ve benETF, spesifikasyonu kademeli olarak güncellemek yerine standardı yeniden keşfetmeye çalıştı ve patentleri birkaç yıl önce sona eren OCB'yi (Ofset kod kitabı modu) göz ardı ederek, doğru şekilde uygulanması zor olan GCM simetrik şifreleme moduna destek dayatmanın yanı sıra, birlikte çalışabilirliği ihlal eden önemli değişiklikler yapın.

Çatalı destekleyen GnuPG, RNP (Thunderbird OpenPGP uygulaması) ve Gpg4win projelerinin geliştiricileri, planlanan değişikliklerin, kullanıcıları spesifikasyonun uzun vadede istikrarlı olmasını beklediği OpenPGP tabanlı uygulamaların mevcut uygulamalarına zarar vereceğinden korkuyor ve şu şekilde: uyumluluğu bozan değişiklikleri desteklemeye hazır değil.

Buna ek olarak, LibrePGP yaratıcıları rastgele dolgulu isteğe bağlı paketler eklemeyi sorguluyor trafik analizine karşı koruma sağlamak için. Onlara göre, doğrulanamayan ilk rastgele doldurmaya sahip bu paketler, gizli veri iletim kanalları oluşturmak ve veri sızıntısı önleme sistemlerini atlatmak için kullanılma tehdidi oluşturuyor. Daha önce dolgu ekleme fikri, şifreleme düzeyinde bir sorun olmaktan ziyade uygulama düzeyinde bir sorun olduğu için reddediliyordu.

Ayrıca, Ayrıca değiştirilmiş bir ECDH şifreleme şemasının kullanımını da sorguluyorlarRFC-6637'de zaten açıklanan ve PGP ve GnuPG'de uygulanan seçeneğin kullanılmasının yanı sıra klasik anahtar iptal yöntemi, MIME verilerini işaretlemek için "m" bayrağı ve "t" işareti gibi bazı pratik özelliklerin ortadan kaldırılması yerine ” metni ikili verilerden ayırmak için bayrak (“t” bayrağı, UTF-8 kodlu metin için “u” bayrağıyla değiştirildi).

Bu ve diğer konular göz önüne alındığında, bunun nedenleri şunlardı: LibrePGP'nin oluşturulmasıOpenPGP spesifikasyonunun gelecekteki bir sürümü için son yıllarda geliştirilen faydalı iyileştirmeleri içerdiği belirtilen ancak uyumluluğu olumsuz yönde etkileyecek değişiklikleri önleyen bir özellik. Örneğin mevcut RFC-4880 standardıyla karşılaştırıldığında, LibrePGP aşağıdaki özellikleri benimsemiştir:

• Camellia şifreleme algoritması (RFC-5581) desteği,
• OpenPGP (RFC-6637) için ECC (Eliptik Eğri Şifreleme) Uzantıları.
• SHA2-256 karmaları için zorunlu destek (SHA-1 ve MD5, önerilmeyen olarak sınıflandırılır ve bütünlük kontrolü olmadan verilerin şifresini çözme yeteneği tamamen kullanımdan kaldırılmış olarak sınıflandırılır).
• Parmak izi boyutunun 256 bit'e yükseltilmesi.
• EdDSA dijital imza şemasını ve BrainpoolP256r1, BrainpoolP384r1, BrainpoolP512r1, Ed25519, Curve25519, Ed488 ve X448 eliptik eğri imza şemalarını destekler.
• Kuantum bilgisayarlarda seçime dirençli CRYSTALS-Kyber algoritması desteği.
• OCB (Ofset Kod Kitabı Modu) kimlik doğrulamalı şifreleme modları desteği.
• Meta veri korumalı dijital imza formatının beşinci versiyonunun uygulanması.
• Dijital imzalara sahip genişletilmiş alt paketler için destek.

Son olarak şunu belirtmekte fayda var ki OpenPGP destekçileri Zaten eleştiri üstüne eleştiri yayınladılar. Sonuç olarak, bir uzlaşma bulunamazsa bölünme, OpenPGP/LibrePGP uygulamalarında uyumsuzlukların artmasına neden olabilir. Bu sorunu kısmen çözmek için OpenPGP geliştiricileri imza formatının beşinci versiyonunu LibrePGP ile uyumlu olacak şekilde düzelttiler ve altıncı versiyon üzerinde çalışmaya başladılar.

Şekerleme onun hakkında daha fazla bilgi edinmekle ilgileniyorayrıntıları kontrol edebilirsiniz Aşağıdaki bağlantıda.