List of Cryptography - text.Baldanders.info
tag:text.Baldanders.info,2024-03-24:/tags
2024-03-24T12:04:44+09:00
帰ってきた「しっぽのさきっちょ」
https://text.baldanders.info/images/avatar.jpg
https://text.baldanders.info/images/avatar.jpg
OpenPGP 公開鍵の期限を延長した
tag:text.Baldanders.info,2024-03-24:/remark/2024/03/update-expiration-2024/
2024-03-24T03:04:44+00:00
2024-03-24T03:35:08+00:00
2024年末で GnuPG 2.2 系はサポートから外れるんだけどねぇ
Spiegel
https://baldanders.info/profile/
<p>3年前に「<a href="https://text.baldanders.info/remark/2021/03/changing-publickey-management/" title="Baldanders.info サイトにおける OpenPGP 鍵管理の変更">来年からまた短期の運用に戻す</a>」と言ったのに未だに有言不実行。
今年も現行鍵の有効期限を 2025-04-01 まで延長するに留めた。</p>
<p>更新した公開鍵は以下の URI からインポートできる(既にインポート済みの場合は上書き更新される)。</p>
<div class="highlight"><pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">$ gpg --fetch-keys https://baldanders.info/pubkeys/spiegel.asc
</span></span></code></pre></div><p>または</p>
<div class="highlight"><pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">$ gpg --fetch-keys https://github.com/spiegel-im-spiegel.gpg
</span></span></code></pre></div><p>拙作の <a href="https://github.com/goark/gpgpdump" title="goark/gpgpdump: OpenPGP packet visualizer">gpgpdump</a> を使えばインポートする前に公開鍵の内容をチェックできる。</p>
<div class="highlight"><pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">$ gpgpdump fetch https://baldanders.info/pubkeys/spiegel.asc
</span></span></code></pre></div><p>または</p>
<div class="highlight"><pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">$ gpgpdump fetch https://github.com/spiegel-im-spiegel.gpg
</span></span></code></pre></div><p>いや Ubuntu が <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.4 系にアップデートしてくれないので待ち状態なのよ。
いきなり自前で最新版をインストールするのは怖いので,仮想環境か何かで動作確認をしないといけないのだが,これも遅々として進まず。
2024年末で 2.2 系はサポートから外れるんだけどねぇ。</p>
<p>最近は OpenPGP 鍵の短期運用は,期限切れの鍵が増えるだけで,あまり意味がない気がしてきた。
サーバを運用しているならともかく, OpenPGP 鍵を Yubikey とかのデバイスに入れるのもあまり意味がない気がするんだよな。
私は基本的にノート PC を忌避してるし。</p>
<p>まぁ,どのみち OpenPGP 鍵は <a href="https://text.baldanders.info/openpgp/using-ecc-with-gnupg/" title="そろそろ GnuPG でも ECC を標準で使うのがいいんじゃないかな">ECC にしたい</a>ので,いつかは入れ替えなきゃいけないけどね。
それもこれも <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.4 系の環境が整ってからだ!</p>
<p>…というわけで,もうしばらくはグズってます。</p>
<h2>ブックマーク</h2>
<ul>
<li>
<p><a href="https://www.procustodibus.com/blog/2023/02/gpg-2-4-on-ubuntu-22-04/">Installing GnuPG 2.4 on Ubuntu 22.04 | Pro Custodibus</a></p>
</li>
<li>
<p><a href="https://baldanders.info/pubkeys/">OpenPGP 公開鍵リスト | Baldanders.info</a></p>
</li>
<li>
<p><a href="https://text.baldanders.info/openpgp/gnupg-cheat-sheet/">GnuPG チートシート(鍵作成から失効まで)</a></p>
</li>
<li>
<p><a href="https://text.baldanders.info/openpgp/web-of-trust/">OpenPGP の電子署名は「ユーザーの身元を保証し」ない</a></p>
</li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B0CW1DZS1W?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/41pm5BJKQwL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B0CW1DZS1W?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">科学2024年3月号[雑誌]</a></dt>
<dd>岩波書店『科学』編集部 (編集)</dd>
<dd>岩波書店 2024-02-22 (Release 2024-03-01)</dd>
<dd>Kindle版</dd>
<dd>B0CW1DZS1W (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="4"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="far fa-star"></i></abbr></dd>
</dl>
<p class="description">この号の特集は「現代暗号の展開と応用」。耐量子計算機暗号や格子暗号といった今どきなキーワードも出てくる。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2024-03-01">2024-03-01</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 岩波「科学」2024年3月号 現代暗号の展開と応用 -->
GnuPG 2.4.4 / 2.4.5 のリリース【セキュリティ・アップデートを含む】
tag:text.Baldanders.info,2024-03-20:/release/2024/03/gnupg-2_4_5-is-released/
2024-03-20T02:03:46+00:00
2024-03-24T03:11:40+00:00
2.4.4 では脆弱性の修正がある
Spiegel
https://baldanders.info/profile/
<p>仕事の忙しさにかまけて色々と放っぽり出してたので,少しずつ回復中。</p>
<p>遅まきながらであるが, 2024-01-25 に <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.4.4 がリリースされた。
さらに先日 2024-03-12 に 2.4.5 がリリースされている。</p>
<ul>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2024q1/000481.html">[Announce] GnuPG 2.4.4 released</a></li>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2024q1/000482.html">[Announce] GnuPG 2.4.5 released</a></li>
</ul>
<p>詳細については割愛する。
<a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.4.4 については次節で紹介する脆弱性の修正がある。</p>
<h2>【脆弱性】スマートカード生成時に保護されていないバックアップ鍵が PC 上に残る</h2>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.4.4 より前の一部のバージョンでスマートカード生成時に保護されていないバックアップ鍵が PC 上に残る脆弱性があるらしい。</p>
<figure lang="en">
<blockquote><p>The standard way to generate keys on a smartcard with GnuPG is to create the encryption subkey with gpg and to move this key to the smartcard. A password protected backup file named <code>sk_<keyid>.gpg</code> is also created so that in the case of a lost or broken smartcard, the key can be restored to a new smartcard to allow decryption of existing data. Unfortunately with some versions of GnuPG an additional unprotected copy of the encryption subkey is also kept on disk.</p>
<p>All possibly affected users should check whether such an unintended copy of a smartcard key exists and delete it.</p>
</blockquote>
<figcaption><div>via <q><a href="https://gnupg.org/blog/20240125-smartcard-backup-key.html">Smartcard key generation keeps an unprotected backup key on disk</a></q></div></figcaption>
</figure>
<p>該当するバージョンは以下の通り。</p>
<figure lang="en">
<blockquote><ul>
<li>Gpg4win version 4.2.0</li>
<li>GnuPG versions 2.4.2 and 2.4.3 iff the card generation was done with the command <code>gpg --card-edit</code>.</li>
<li>GnuPG version 2.2.42 iff the card generation was done with the command <code>gpg --card-edit</code>.</li>
<li>GnuPG VS-Desktop version 3.2.0 and 3.2.1 iff the card generation was done with the non-approved command <code>gpg --card-edit</code>. The documented way to create keys on OpenPGP cards and Yubikeys is not affected.</li>
</ul>
</blockquote>
<figcaption><div>via <q><a href="https://gnupg.org/blog/20240125-smartcard-backup-key.html">Smartcard key generation keeps an unprotected backup key on disk</a></q></div></figcaption>
</figure>
<p>確認方法等については以下を参照のこと。</p>
<ul>
<li><a href="https://gnupg.org/blog/20240125-smartcard-backup-key.html">Smartcard key generation keeps an unprotected backup key on disk</a></li>
</ul>
<h2><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連パッケージ</h2>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連の各パッケージのバージョンは以下の通り(数字は大体の<a href="https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/" title="Ubuntu で最新版 GnuPG をビルドする">ビルド</a>順)。</p>
<table>
<thead>
<tr>
<th style="text-align:right">#</th>
<th>パッケージ名</th>
<th>バージョン</th>
<th>公開日</th>
<th style="text-align:center">更新</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align:right">1</td>
<td><a href="https://gnupg.org/software/libgpg-error/">Libgpg-error</a></td>
<td>1.48</td>
<td>2024-02-23</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">2</td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.8.11 (LTS)</td>
<td>2023-11-16</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.10.3</td>
<td>2023-11-14</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">3</td>
<td><a href="https://gnupg.org/software/libassuan/">Libassuan</a></td>
<td>2.5.7</td>
<td>2024-03-06</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">4</td>
<td><a href="https://gnupg.org/software/libksba/">Libksba</a></td>
<td>1.6.6</td>
<td>2024-02-23</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">5</td>
<td><a href="https://gnupg.org/software/npth/">nPth</a></td>
<td>1.7</td>
<td>2024-02-23</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">6</td>
<td><a href="https://gnupg.org/software/ntbtls/">ntbTLS</a></td>
<td>0.3.2</td>
<td>2024-01-12</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">7</td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.4.5</td>
<td>2024-03-07</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
</tbody>
</table>
<p>ありゃ。
2.2 系のコードが一覧から消えてるな。</p>
<p>現在 <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> には 2.2 系と 2.4 系があり<sup id="fnref:1"><a href="#fn:1" class="footnote-ref" role="doc-noteref">1</a></sup>, 2.4 系では AEAD (Authenticated Encryption with Associated Data) 等 <a href="https://datatracker.ietf.org/doc/draft-ietf-openpgp-rfc4880bis/" title="draft-ietf-openpgp-rfc4880bis - OpenPGP Message Format">RFC 4880bis</a> で検討されている機能が実装されている。
2.2 系は 2.4 系のサブセットという位置づけで,少なくとも2024年末まではサポートが続けられる予定である。</p>
<p>別記事でも書いたが,どうも <a href="https://www.ubuntu.com/" title="The leading operating system for PCs, IoT devices, servers and the cloud | Ubuntu">Ubuntu</a> は真面目に <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> のメンテナンスをやる気がないようである。
なので,自前でビルドを行おうかと考えているが,遅々として進まず…</p>
<ul>
<li><a href="https://www.procustodibus.com/blog/2023/02/gpg-2-4-on-ubuntu-22-04/">Installing GnuPG 2.4 on Ubuntu 22.04 | Pro Custodibus</a></li>
</ul>
<h2>ブックマーク</h2>
<ul>
<li>
<p><a href="https://github.com/iquiw/pinentry-w32-ncg-binary">iquiw/pinentry-w32-ncg-binary: pinentry-w32, no characters garbled</a></p>
</li>
<li>
<p><a href="https://gnupg.org/blog/20230321-adsk.html">ADSK: The Additional Decryption Subkey</a></p>
</li>
<li>
<p><a href="https://text.baldanders.info/openpgp/">OpenPGP の実装</a></p>
</li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B0CW1DZS1W?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/41pm5BJKQwL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B0CW1DZS1W?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">科学2024年3月号[雑誌]</a></dt>
<dd>岩波書店『科学』編集部 (編集)</dd>
<dd>岩波書店 2024-02-22 (Release 2024-03-01)</dd>
<dd>Kindle版</dd>
<dd>B0CW1DZS1W (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="4"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="far fa-star"></i></abbr></dd>
</dl>
<p class="description">この号の特集は「現代暗号の展開と応用」。耐量子計算機暗号や格子暗号といった今どきなキーワードも出てくる。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2024-03-01">2024-03-01</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 岩波「科学」2024年3月号 現代暗号の展開と応用 -->
<div class="footnotes" role="doc-endnotes">
<hr>
<ol>
<li id="fn:1">
<p>厳密には1.4系もあるが,これは legacy 版と位置付けられており,よほどのバグか脆弱性がない限りは更新されない。もし今だに1.4系(あるいは既にサポートされていない2.0/2.1系)を使っているのなら2.4系以降にアップグレードすることを強くお勧めする。 <a href="#fnref:1" class="footnote-backref" role="doc-backlink">↩︎</a></p>
</li>
</ol>
</div>
GnuPG 2.4.3 のリリース
tag:text.Baldanders.info,2023-07-05:/release/2023/07/gnupg-2_4_3-is-released/
2023-07-05T10:42:04+00:00
2023-07-23T08:26:26+00:00
脆弱性の修正はなし。
Spiegel
https://baldanders.info/profile/
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.4.3 がリリースされた。</p>
<ul>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2023q3/000480.html">[Announce] GnuPG 2.4.3 released</a></li>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-users/2023-July/066614.html">[Announce] GnuPG for OS X 2.4.3</a></li>
</ul>
<p>Mastodon でもアナウンスがあった。</p>
<figure>
<blockquote class="nobox center">
<iframe src="https://mstdn.social/@GnuPG/110660553674699342/embed" class="mastodon-embed" style="max-width: 100%; border: 0" width="400" allowfullscreen="allowfullscreen"></iframe>
</blockquote></figure>
<p>脆弱性の修正はなし。
その他の改修ポイントは以下の通り。</p>
<figure lang="en">
<blockquote><ul>
<li>gpg: Set default expiration date to 3 years. [T2701]</li>
<li>gpg: Add <code>--list-filter</code> properties <code>"key_expires"</code> and <code>"key_expires_d"</code>. [T6529]</li>
<li>gpg: Emit status line and proper diagnostics for write errors. [T6528]</li>
<li>gpg: Make progress work for large files on Windows. [T6534]</li>
<li>gpg: New option <code>--no-compress</code> as alias for <code>-z0</code>.</li>
<li>gpgsm: Print <code>PROGRESS</code> status lines. Add new <code>--input-size-hint</code>. [T6534]</li>
<li>gpgsm: Support <code>SENDCERT_SKI</code> for <code>--call-dirmngr</code>. [rG701a8b30f0]</li>
<li>gpgsm: Major rewrite of the PKCS#12 parser. [T6536]</li>
<li>gpgtar: New option <code>--no-compress</code>.</li>
<li>dirmngr: Extend the <code>AD_QUERY</code> command. [rG207c99567c]</li>
<li>dirmngr: Disable the HTTP redirect rewriting. [T6477]</li>
<li>dirmngr: New option <code>--compatibility-flags</code>. [rGbf04b07327]</li>
<li>dirmngr: New option <code>--ignore-crl-extensions</code>. [T6545]</li>
<li>wkd: Use export-clean for <code>gpg-wks-client</code>’s <code>--mirror</code> and <code>--create</code> commands. [rG2c7f7a5a27]</li>
<li>wkd: Make <code>--add-revocs</code> the default in <code>gpg-wks-client</code>. New option <code>--no-add-revocs</code>. [rG10c937ee68]</li>
<li>scd: Make signing work for Nexus cards. [rGb83d86b988]</li>
<li>scd: Fix authentication with Administration Key for PIV. [rG25b59cf6ce]</li>
</ul>
<p>Release-info: <a href="https://dev.gnupg.org/T6509">https://dev.gnupg.org/T6509</a></p></blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2023q3/000480.html">GnuPG 2.4.3 released</a></q></div></figcaption>
</figure>
<h2><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連パッケージ</h2>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連の各パッケージのバージョンは以下の通り(数字は大体の<a href="https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/" title="Ubuntu で最新版 GnuPG をビルドする">ビルド</a>順)。</p>
<table>
<thead>
<tr>
<th style="text-align:right">#</th>
<th>パッケージ名</th>
<th>バージョン</th>
<th>公開日</th>
<th style="text-align:center">更新</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align:right">1</td>
<td><a href="https://gnupg.org/software/libgpg-error/">Libgpg-error</a></td>
<td>1.47</td>
<td>2023-04-06</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">2</td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.8.10 (LTS)</td>
<td>2023-01-05</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.10.2</td>
<td>2023-04-06</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">3</td>
<td><a href="https://gnupg.org/software/libassuan/">Libassuan</a></td>
<td>2.5.6</td>
<td>2023-06-19</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">4</td>
<td><a href="https://gnupg.org/software/libksba/">Libksba</a></td>
<td>1.6.4</td>
<td>2023-06-19</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">5</td>
<td><a href="https://gnupg.org/software/npth/">nPth</a></td>
<td>1.6</td>
<td>2018-07-16</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">6</td>
<td><a href="https://gnupg.org/software/ntbtls/">ntbTLS</a></td>
<td>0.3.1</td>
<td>2022-04-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">7</td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.2.41 (LTS)</td>
<td>2022-12-09</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.4.3</td>
<td>2023-07-04</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
</tbody>
</table>
<p>現在 <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> には 2.2 系と 2.4 系があり<sup id="fnref:1"><a href="#fn:1" class="footnote-ref" role="doc-noteref">1</a></sup>, 2.4 系では AEAD (Authenticated Encryption with Associated Data) 等 <a href="https://datatracker.ietf.org/doc/draft-ietf-openpgp-rfc4880bis/" title="draft-ietf-openpgp-rfc4880bis - OpenPGP Message Format">RFC 4880bis</a> で検討されている機能が実装されている。
2.2 系は 2.4 系のサブセットという位置づけで,少なくとも2024年末まではサポートが続けられる予定である。</p>
<p>別記事でも書いたが,どうも <a href="https://www.ubuntu.com/" title="The leading operating system for PCs, IoT devices, servers and the cloud | Ubuntu">Ubuntu</a> は真面目に <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> のメンテナンスをやる気がないようである。
なので,近々自前でビルドを行おうかと考えているが,遅々として進まず…</p>
<ul>
<li><a href="https://www.procustodibus.com/blog/2023/02/gpg-2-4-on-ubuntu-22-04/">Installing GnuPG 2.4 on Ubuntu 22.04 | Pro Custodibus</a></li>
</ul>
<h2>ブックマーク</h2>
<ul>
<li>
<p><a href="https://gpg4win.org/version4.2.html">Gpg4win - Whats new - Version 4.2?</a></p>
</li>
<li>
<p><a href="https://github.com/iquiw/pinentry-w32-ncg-binary">iquiw/pinentry-w32-ncg-binary: pinentry-w32, no characters garbled</a></p>
</li>
<li>
<p><a href="https://gnupg.org/blog/20230321-adsk.html">ADSK: The Additional Decryption Subkey</a></p>
</li>
<li>
<p><a href="https://text.baldanders.info/openpgp/">OpenPGP の実装</a></p>
</li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="footnotes" role="doc-endnotes">
<hr>
<ol>
<li id="fn:1">
<p>厳密には1.4系もあるが,これは legacy 版と位置付けられており,よほどのバグか脆弱性がない限りは更新されない。もし今だに1.4系(あるいは既にサポートされていない2.0/2.1系)を使っているのなら2.2系以降にアップグレードすることを強くお勧めする。 <a href="#fnref:1" class="footnote-backref" role="doc-backlink">↩︎</a></p>
</li>
</ol>
</div>
GnuPG 2.4.2 のリリースと Mastodon 公式アカウントができた話
tag:text.Baldanders.info,2023-06-11:/release/2023/06/gnupg-2_4_2-is-released/
2023-06-11T01:28:34+00:00
2023-06-11T01:28:45+00:00
脆弱性の修正はなし。
Spiegel
https://baldanders.info/profile/
<p>毎度遅まきながらで申し訳ないが <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.4.2 がリリースされた。</p>
<ul>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2023q2/000479.html">[Announce] GnuPG 2.4.2 released</a></li>
</ul>
<p>脆弱性の修正はなし。
その他の改修ポイントは以下の通り。</p>
<figure lang="en">
<blockquote><ul>
<li>gpg: Print a warning if no more encryption subkeys are left over after changing the expiration date. [rGef2c3d50fa]</li>
<li>gpg: Fix searching for the ADSK key when adding an ADSK. [T6504]</li>
<li>gpgsm: Speed up key listings on Windows. [rG08ff55bd44]</li>
<li>gpgsm: Reduce the number of “failed to open policy file” diagnostics. [rG68613a6a9d]</li>
<li>agent: Make updating of private key files more robust and track display S/N. [T6135]</li>
<li>keyboxd: Avoid longish delays on Windows when listing keys. [rG6944aefa3c]</li>
<li>gpgtar: Emit extra status lines to help GPGME. [T6497]</li>
<li>w32: Avoid using the VirtualStore. [T6403]</li>
</ul>
</blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2023q2/000479.html">GnuPG 2.4.2 released</a></q></div></figcaption>
</figure>
<h2><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連パッケージ</h2>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連の各パッケージのバージョンは以下の通り(数字は大体の<a href="https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/" title="Ubuntu で最新版 GnuPG をビルドする">ビルド</a>順)。</p>
<table>
<thead>
<tr>
<th style="text-align:right">#</th>
<th>パッケージ名</th>
<th>バージョン</th>
<th>公開日</th>
<th style="text-align:center">更新</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align:right">1</td>
<td><a href="https://gnupg.org/software/libgpg-error/">Libgpg-error</a></td>
<td>1.47</td>
<td>2023-04-06</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">2</td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.8.10 (LTS)</td>
<td>2023-01-05</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.10.2</td>
<td>2023-04-06</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">3</td>
<td><a href="https://gnupg.org/software/libassuan/">Libassuan</a></td>
<td>2.5.5</td>
<td>2021-03-22</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">4</td>
<td><a href="https://gnupg.org/software/libksba/">Libksba</a></td>
<td>1.6.3</td>
<td>2022-12-06</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">5</td>
<td><a href="https://gnupg.org/software/npth/">nPth</a></td>
<td>1.6</td>
<td>2018-07-16</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">6</td>
<td><a href="https://gnupg.org/software/ntbtls/">ntbTLS</a></td>
<td>0.3.1</td>
<td>2022-04-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">7</td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.2.41 (LTS)</td>
<td>2022-12-09</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.4.2</td>
<td>2023-05-30</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
</tbody>
</table>
<p>現在 <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> には 2.2 系と 2.4 系があり<sup id="fnref:1"><a href="#fn:1" class="footnote-ref" role="doc-noteref">1</a></sup>, 2.4 系では AEAD (Authenticated Encryption with Associated Data) 等 <a href="https://datatracker.ietf.org/doc/draft-ietf-openpgp-rfc4880bis/" title="draft-ietf-openpgp-rfc4880bis - OpenPGP Message Format">RFC 4880bis</a> で検討されている機能が実装されている。
2.2 系は 2.4 系のサブセットという位置づけで,少なくとも2024年末まではサポートが続けられる予定である。</p>
<p>別記事でも書いたが,どうも <a href="https://www.ubuntu.com/" title="The leading operating system for PCs, IoT devices, servers and the cloud | Ubuntu">Ubuntu</a> は真面目に <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> のメンテナンスをやる気がないようである。
なので,近々自前でビルドを行おうかと考えているが,遅々として進まず…</p>
<ul>
<li><a href="https://www.procustodibus.com/blog/2023/02/gpg-2-4-on-ubuntu-22-04/">Installing GnuPG 2.4 on Ubuntu 22.04 | Pro Custodibus</a></li>
</ul>
<h2>【余談】 GnuPG の Mastodon 公式アカウントができたらしい</h2>
<p>この前 Twitter で見かけたのだが</p>
<figure style='margin:0 auto;text-align:center;'>
<blockquote class="twitter-tweet"><p lang="en" dir="ltr">Now that we lost our verification mark, we will likely move to a Mastodon: @GnuPG@mstdn.social</p>— GNU Privacy Guard (@gnupg) <a href="https://twitter.com/gnupg/status/1664251891230941184?ref_src=twsrc%5Etfw">June 1, 2023</a></blockquote>
</figure>
<p>なんだそうで,本当に Mastodon にアカウントができていた。</p>
<ul>
<li><a href="https://mstdn.social/@GnuPG">GnuPG (@GnuPG@mstdn.social) - Mastodon 🐘</a></li>
</ul>
<p>Twitter アカウントはマークを外された状態で継続するのかな?
まぁ認証マークつってもアレって「Twitter 教にお布施しました」マークだろ,金で買えるらしいし(笑) それよりも早く <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG.org</a> サイトに <code><link rel="me"></code> 要素で連携して認証してもらいなはれ!</p>
<p>こうやって Twitter を参照する理由がひとつずつ減っていくんだねぇ。</p>
<h2>ブックマーク</h2>
<ul>
<li>
<p><a href="https://github.com/iquiw/pinentry-w32-ncg-binary">iquiw/pinentry-w32-ncg-binary: pinentry-w32, no characters garbled</a></p>
</li>
<li>
<p><a href="https://gnupg.org/blog/20230321-adsk.html">ADSK: The Additional Decryption Subkey</a></p>
</li>
<li>
<p><a href="https://text.baldanders.info/openpgp/">OpenPGP の実装</a></p>
</li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="footnotes" role="doc-endnotes">
<hr>
<ol>
<li id="fn:1">
<p>厳密には1.4系もあるが,これは legacy 版と位置付けられており,よほどのバグか脆弱性がない限りは更新されない。もし今だに1.4系(あるいは既にサポートされていない2.0/2.1系)を使っているのなら2.2系以降にアップグレードすることを強くお勧めする。 <a href="#fnref:1" class="footnote-backref" role="doc-backlink">↩︎</a></p>
</li>
</ol>
</div>
GnuPG 2.4.1 のリリース
tag:text.Baldanders.info,2023-04-29:/release/2023/04/gnupg-2_4_1-is-released/
2023-04-29T09:29:31+00:00
2023-04-29T09:30:03+00:00
脆弱性の修正はなし。機能の追加と不具合の修正
Spiegel
https://baldanders.info/profile/
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.4.1 がリリースされた。</p>
<ul>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2023q2/000478.html">[Announce] GnuPG 2.4.1 released</a></li>
</ul>
<p>脆弱性の修正はなし。
その他の改修ポイントは以下の通り。</p>
<figure lang="en">
<blockquote><ul>
<li>If the ~/.gnupg directory does not exist, the keyboxd is now automagically enabled. [rGd9e7488b17]</li>
<li>gpg: New option <code>--add-desig-revoker</code>. [rG3d094e2bcf]</li>
<li>gpg: New option <code>--assert-signer</code>. [rGc9e95b8dee]</li>
<li>gpg: New command <code>--quick-add-adsk</code> and other ADSK features. [T6395, https://gnupg.org/blog/20230321-adsk.html]</li>
<li>gpg: New list-option “<code>show-unusable-sigs</code>”. Also show “<code>[self-signature]</code>” instead of the <code>user-id</code> in key signature listings. [rG103acfe9ca]</li>
<li>gpg: For symmetric encryption the default S2K hash is now SHA256. [T6367]</li>
<li>gpg: Detect already compressed data also when using a pipe. Also detect JPEG and PNG file formats. [T6332]</li>
<li>gpg: New subcommand “<code>openpgp</code>” for <code>--card-edit</code>. [T6462]</li>
<li>gpgsm: Verification of detached signatures does now strip trailing zeroes from the input if <code>--assume-binary</code> is used. [rG2a13f7f9dc]</li>
<li>gpgsm: Non-armored detached signature are now created without using indefinite form length octets. This improves compatibility with some PDF signature verification software. [rG8996b0b655]</li>
<li>gpgtar: Emit progress status lines in create mode. [T6363]</li>
<li>dirmngr: The LDAP modifyTimestamp is now returned by some keyserver commands. [rG56d309133f]</li>
<li>ssh: Allow specification of the order keys are presented to ssh. See the man page entry for <code>--enable-ssh-support</code>. [T5996, T6212]</li>
<li>gpg: Make list-options “<code>show-sig-subpackets</code>” work again. Fixes regression in 2.4.0. [rG5a223303d7]</li>
<li>gpg: Fix the keytocard command for Yubikeys. [T6378]</li>
<li>gpg: Do not continue an export after a cancel for the primary key. [T6093]</li>
<li>gpg: Replace the <code>--override-compliance-check</code> hack by a real fix. [T5655]</li>
<li>gpgtar: Fix decryption with input taken from stdin. [T6355]</li>
</ul>
<p>Release-info: <a href="https://dev.gnupg.org/T6454">https://dev.gnupg.org/T6454</a></p></blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2023q2/000478.html">GnuPG 2.4.1 released</a></q></div></figcaption>
</figure>
<p>とりあえず <code>--quick-add-adsk</code> オプションと <code>--enable-ssh-support</code> オプションが気になるところではある。
<code>--quick-add-adsk</code> オプションおよび ADSK については以下の記事が参考になる。</p>
<ul>
<li><a href="https://gnupg.org/blog/20230321-adsk.html">ADSK: The Additional Decryption Subkey</a></li>
</ul>
<h2><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連パッケージ</h2>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連の各パッケージのバージョンは以下の通り(数字は大体の<a href="https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/" title="Ubuntu で最新版 GnuPG をビルドする">ビルド</a>順)。</p>
<table>
<thead>
<tr>
<th style="text-align:right">#</th>
<th>パッケージ名</th>
<th>バージョン</th>
<th>公開日</th>
<th style="text-align:center">更新</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align:right">1</td>
<td><a href="https://gnupg.org/software/libgpg-error/">Libgpg-error</a></td>
<td>1.47</td>
<td>2023-04-06</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">2</td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.8.10 (LTS)</td>
<td>2023-01-05</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.10.2</td>
<td>2023-04-06</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">3</td>
<td><a href="https://gnupg.org/software/libassuan/">Libassuan</a></td>
<td>2.5.5</td>
<td>2021-03-22</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">4</td>
<td><a href="https://gnupg.org/software/libksba/">Libksba</a></td>
<td>1.6.3</td>
<td>2022-12-06</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">5</td>
<td><a href="https://gnupg.org/software/npth/">nPth</a></td>
<td>1.6</td>
<td>2018-07-16</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">6</td>
<td><a href="https://gnupg.org/software/ntbtls/">ntbTLS</a></td>
<td>0.3.1</td>
<td>2022-04-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">7</td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.2.41 (LTS)</td>
<td>2022-12-09</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.4.1</td>
<td>2023-04-28</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
</tbody>
</table>
<p>現在 <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> には 2.2 系と 2.4 系があり<sup id="fnref:1"><a href="#fn:1" class="footnote-ref" role="doc-noteref">1</a></sup>, 2.4 系では AEAD (Authenticated Encryption with Associated Data) 等 <a href="https://datatracker.ietf.org/doc/draft-ietf-openpgp-rfc4880bis/" title="draft-ietf-openpgp-rfc4880bis - OpenPGP Message Format">RFC 4880bis</a> で検討されている機能が実装されている。
2.2 系は 2.4 系のサブセットという位置づけで,少なくとも2024年末まではサポートが続けられる予定である。</p>
<p>別記事でも書いたが,どうも <a href="https://www.ubuntu.com/" title="The leading operating system for PCs, IoT devices, servers and the cloud | Ubuntu">Ubuntu</a> は真面目に <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> のメンテナンスをやる気がないようである。
なので,せっかく GW で時間に余裕があるし,近々自前でビルドを行おうかと考えている。</p>
<ul>
<li><a href="https://www.procustodibus.com/blog/2023/02/gpg-2-4-on-ubuntu-22-04/">Installing GnuPG 2.4 on Ubuntu 22.04 | Pro Custodibus</a></li>
</ul>
<h2>ブックマーク</h2>
<ul>
<li>
<p><a href="https://github.com/iquiw/pinentry-w32-ncg-binary">iquiw/pinentry-w32-ncg-binary: pinentry-w32, no characters garbled</a></p>
</li>
<li>
<p><a href="https://text.baldanders.info/openpgp/">OpenPGP の実装</a></p>
</li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="footnotes" role="doc-endnotes">
<hr>
<ol>
<li id="fn:1">
<p>厳密には1.4系もあるが,これは legacy 版と位置付けられており,よほどのバグか脆弱性がない限りは更新されない。もし今だに1.4系(あるいは既にサポートされていない2.0/2.1系)を使っているのなら2.2系以降にアップグレードすることを強くお勧めする。 <a href="#fnref:1" class="footnote-backref" role="doc-backlink">↩︎</a></p>
</li>
</ol>
</div>
NIST FIPS 186-5 および SP 800-186 正式版がリリースされた
tag:text.Baldanders.info,2023-02-04:/remark/2023/02/nist-fips-186-5/
2023-02-04T00:30:31+00:00
2023-02-04T00:43:39+00:00
DSA が標準から外れる / ECDSA 自体を定義し直す / EdDSA が標準として承認された
Spiegel
https://baldanders.info/profile/
<p>長い間ドラフト状態だった FIPS 186-5 および SP 800-186 の最終版が出たようだ。</p>
<ul>
<li><a href="https://csrc.nist.gov/publications/detail/fips/186/5/final">FIPS 186-5, Digital Signature Standard (DSS) | CSRC</a></li>
<li><a href="https://csrc.nist.gov/publications/detail/sp/800-186/final">SP 800-186, Discrete Logarithm-Based Crypto: Elliptic Curve Parameters | CSRC</a></li>
</ul>
<p>この記事では <a href="https://csrc.nist.gov/publications/detail/fips/186/5/final" title="FIPS 186-5, Digital Signature Standard (DSS) | CSRC">FIPS 186-5</a> に注目して書いてみる。</p>
<p>大きな変更は3つ。</p>
<h2>DSA が標準から外れる</h2>
<figure lang="en">
<blockquote>Prior versions of this standard specified the DSA. This standard no longer approves the DSA for digital signature generation. However, the DSA may be used to verify signatures generated prior to the implementation date of this standard. See FIPS 186-4 [7] for the specifications for the DSA.</blockquote>
<figcaption><div>via <q><a href="https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-5.pdf">“Digital Signature Standard (DSS)” section 4</a></q></div></figcaption>
</figure>
<p>ということで予定通り,電子署名生成用途としては, DSA は NIST 標準から外れることになった。
ただし,以前に DSA で作成された署名を検証する必要があるため,アプリケーションによっては実装を残しておく必要がある。
DSA 実装に関しては旧版の FIPS 186-4 を読めってあるな。</p>
<h2>ECDSA 自体を定義し直す</h2>
<p>今まで ECDSA の実装については,以前の FIPS 186-4 だけでは完結してなくて, ANSI X9.62 なんかも併せて参照する必要があった。
特に ANSI X9.62 は所謂 paywalled document って奴で,誰でも気軽に見れるもんじゃないのね。</p>
<p>まだ中身をちゃんと読んでないのだが,この版ではそういった外部参照を取り払って <a href="https://csrc.nist.gov/publications/detail/fips/186/5/final" title="FIPS 186-5, Digital Signature Standard (DSS) | CSRC">FIPS 186-5</a> のみで実装を定義しているようだ。
めでたい! 言い方を変えると,今後 ECDSA を実装する際は <a href="https://csrc.nist.gov/publications/detail/fips/186/5/final" title="FIPS 186-5, Digital Signature Standard (DSS) | CSRC">FIPS 186-5</a> を見ろってことでもある。
まぁ,私を含めて殆どの人は偉い人が作ったライブラリを利用するだけで,中身を気にする人は少ないだろうけど(笑)</p>
<h2>EdDSA が標準として承認された</h2>
<p>そして最大のトピックは EdDSA が NIST 標準として承認されたことだろう。</p>
<p>ちなみに EdDSA については,日本の <a href="https://www.cryptrec.go.jp/topics/cryptrec_20211012_c20report.html" title="CRYPTREC | CRYPTREC Report 2020">CRYPTREC でも評価</a>が行われていて</p>
<figure>
<blockquote><ul>
<li>総評:下記の観点から、EdDSA の構成に関わる安全性において、EdDSA が ECDSA に劣ると考えられる点は無いと思われると述べている。
<ul>
<li>Schnorr 署名をもとに EdDSA は構成されているため、ランダムオラクルモデルで安全性が証明されている Schnorr 署名に対する安全性評価を参考にすることができる。</li>
<li>Schnorr 署名との大きな違いはノンスの生成方法であるが、EdDSA におけるノンスの生成方法は、署名の内部乱数を弱い疑似乱数生成器に委ねることによる危険を排除し、現実的な脅威を回避するための配慮が施されている。</li>
<li>比較対象となる ECDSA については、既存結果として generic group model でのみ安全性が証明されている。</li>
</ul>
</li>
</ul>
</blockquote>
<figcaption><div><q><a href="https://www.cryptrec.go.jp/report/cryptrec-rp-2000-2020.pdf">CRYPTREC Report 2020 暗号技術評価委員会報告</a></q>より</div></figcaption>
</figure>
<p>と書かれている。
まぁ,これで政府調達でも何でも大手を振って EdDSA を使えるというものである。</p>
<p>めでたい! (大事なことなので2度言いました)</p>
<h2>ブックマーク</h2>
<ul>
<li><a href="https://text.baldanders.info/remark/2020/06/eddsa/">Edwards-curve Digital Signature Algorithm</a></li>
<li><a href="https://text.baldanders.info/remark/2021/02/dsa-deprecation/">DSA は NIST 電子署名標準から外れるようだ</a></li>
<li><a href="https://text.baldanders.info/remark/2022/02/breaking-256-bit-elliptic-curve-encryption-with-a-quantum-computer/">量子コンピュータで256ビット楕円曲線暗号は破れるか</a></li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
GnuPG 2.4.0 のリリース【セキュリティ・アップデートを含む】
tag:text.Baldanders.info,2022-12-25:/release/2022/12/gnupg-2_4_0-is-released/
2022-12-25T08:26:41+00:00
2023-01-28T03:52:04+00:00
Libksba の脆弱性修正を含んでいる。そして,25周年おめでとう!
Spiegel
https://baldanders.info/profile/
<p><a href="https://text.baldanders.info/remark/2022/12/heart-attack/" title="ハライタだと思った? 残念! 心筋梗塞でした">入院中</a>だったためリアクションが遅れたけど <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.4.0 がリリースされた。
そして,25周年おめでとう!</p>
<ul>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q4/000477.html">[Announce] GnuPG 2.4.0 released (silver anniversary)</a></li>
</ul>
<p>そういえば昨年は<a href="https://text.baldanders.info/remark/2021/12/gnupg-030-years-anniversary/" title="GnuPG 030周年(笑)と寄付の話">030周年</a>だったな(笑)</p>
<p>2.4 系がリリースされたことで,今後は 2.4 系が最新 stable 版としてメンテナンスされていく。
LTS 版である 2.2 系は 2.4 系の不具合や脆弱性の修正のみバックポートされることになるだろう。</p>
<figure lang="en">
<blockquote>Version 2.2 is our LTS (long term support) version and guaranteed to be maintained at least until the end of 2024. Only a small subset of features from 2.4 has been back-ported to this series.</blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q4/000477.html">GnuPG 2.4.0 released (silver anniversary)</a></q></div></figcaption>
</figure>
<p>そして,このバージョンから</p>
<figure lang="en">
<blockquote>The key database daemon is now a fully supported feature. Keys are stored in a SQLite database to make key lookups much faster. Enable it by adding <code>"use-keyboxd"</code> o <code>common.conf</code>. See also the <code>README</code> file.</blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q4/000477.html">GnuPG 2.4.0 released (silver anniversary)</a></q></div></figcaption>
</figure>
<p>となるそうだ。
うーん,試す環境がない。
Ubuntu は 2.2 系のまま突き進むのかなぁ。</p>
<h2><a href="https://nvd.nist.gov/vuln/detail/CVE-2022-3515">CVE-2022-3515</a> GnuPG / Libksba Security Advisory</h2>
<p>今回のリリースには <a href="https://gnupg.org/software/libksba/">Libksba</a> のセキュリティ・アップデートを含んでいる。</p>
<ul>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q4/000475.html">[Announce] [CVE-2022-3515] GnuPG / Libksba Security Advisory</a></li>
</ul>
<p>これによると</p>
<figure lang="en">
<blockquote>A severe bug has been found in [Libksba] , the library used by GnuPG for parsing the ASN.1 structures as used by S/MIME. The bug affects all versions of [Libksba] before 1.6.2 and may be used for remote code execution.</blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q4/000475.html">[CVE-2022-3515] GnuPG / Libksba Security Advisory</a></q></div></figcaption>
</figure>
<p>だそうだ。
結構ヤバい。
“<em>Updating this library is thus important</em>.” とあるので早めのアップデートを。</p>
<p><a href="https://gnupg.org/software/libksba/">Libksba</a> のバージョンを確認するには</p>
<div class="highlight"><pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">$ gpgconf --show-versions | grep KSBA
</span></span></code></pre></div><p>とすればいいらしい。
これで</p>
<div class="highlight"><pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">* KSBA 1.6.3 (xxxxx)
</span></span></code></pre></div><p>てな風になっていれば OK かな。</p>
<ul>
<li><code>CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H</code></li>
<li>深刻度: 緊急 (Score: 9.8)</li>
</ul>
<table>
<thead>
<tr>
<th>基本評価基準</th>
<th>評価値</th>
</tr>
</thead>
<tbody>
<tr>
<td>攻撃元区分</td>
<td>ネットワーク</td>
</tr>
<tr>
<td>攻撃条件の複雑さ</td>
<td>低</td>
</tr>
<tr>
<td>必要な特権レベル</td>
<td>不要</td>
</tr>
<tr>
<td>ユーザ関与レベル</td>
<td>不要</td>
</tr>
<tr>
<td>スコープ</td>
<td>変更なし</td>
</tr>
<tr>
<td>機密性への影響</td>
<td>高</td>
</tr>
<tr>
<td>完全性への影響</td>
<td>高</td>
</tr>
<tr>
<td>可用性への影響</td>
<td>高</td>
</tr>
</tbody>
</table>
<h2><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連パッケージ</h2>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連の各パッケージのバージョンは以下の通り(数字は大体の<a href="https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/" title="Ubuntu で最新版 GnuPG をビルドする">ビルド</a>順)。</p>
<table>
<thead>
<tr>
<th style="text-align:right">#</th>
<th>パッケージ名</th>
<th>バージョン</th>
<th>公開日</th>
<th style="text-align:center">更新</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align:right">1</td>
<td><a href="https://gnupg.org/software/libgpg-error/">Libgpg-error</a></td>
<td>1.46</td>
<td>2022-10-07</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">2</td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.8.9 (LTS)</td>
<td>2022-02-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.10.1</td>
<td>2022-03-28</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">3</td>
<td><a href="https://gnupg.org/software/libassuan/">Libassuan</a></td>
<td>2.5.5</td>
<td>2021-03-22</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">4</td>
<td><a href="https://gnupg.org/software/libksba/">Libksba</a></td>
<td>1.6.3</td>
<td>2022-12-06</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">5</td>
<td><a href="https://gnupg.org/software/npth/">nPth</a></td>
<td>1.6</td>
<td>2018-07-16</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">6</td>
<td><a href="https://gnupg.org/software/ntbtls/">ntbTLS</a></td>
<td>0.3.1</td>
<td>2022-04-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">7</td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.2.41 (LTS)</td>
<td>2022-12-09</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.4.0</td>
<td>2022-12-16</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
</tbody>
</table>
<p>現在 <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> には 2.2 系と 2.4 系があり<sup id="fnref:1"><a href="#fn:1" class="footnote-ref" role="doc-noteref">1</a></sup>, 2.4 系では AEAD (Authenticated Encryption with Associated Data) 等 <a href="https://datatracker.ietf.org/doc/draft-ietf-openpgp-rfc4880bis/" title="draft-ietf-openpgp-rfc4880bis - OpenPGP Message Format">RFC 4880bis</a> で検討されている機能が実装されている。
2.2 系は 2.4 系のサブセットという位置づけで,少なくとも2024年末まではサポートが続けられる予定である。</p>
<p>そうそう。
Windows 版 pinentry の文字化けを解消した改良版を公開されている方がいる。ありがたや。</p>
<ul>
<li><a href="https://github.com/iquiw/pinentry-w32-ncg-binary">iquiw/pinentry-w32-ncg-binary: pinentry-w32, no characters garbled</a></li>
</ul>
<p>アップデートは計画的に。</p>
<h2>ブックマーク</h2>
<ul>
<li>
<p><a href="https://lists.wald.intevation.org/pipermail/gpg4win-announce/2022/000099.html">[Gpg4win-announce] Gpg4win 4.1.0 released</a></p>
</li>
<li>
<p><a href="https://text.baldanders.info/openpgp/">OpenPGP の実装</a></p>
</li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="footnotes" role="doc-endnotes">
<hr>
<ol>
<li id="fn:1">
<p>厳密には1.4系もあるが,これは legacy 版と位置付けられており,よほどのバグか脆弱性がない限りは更新されない。もし今だに1.4系(あるいは既にサポートされていない2.0/2.1系)を使っているのなら2.2系以降にアップグレードすることを強くお勧めする。 <a href="#fnref:1" class="footnote-backref" role="doc-backlink">↩︎</a></p>
</li>
</ol>
</div>
GnuPG 2.3.8 のリリース【セキュリティ・アップデート】
tag:text.Baldanders.info,2022-11-04:/release/2022/11/gnupg-2_3_8-is-released/
2022-11-04T01:12:53+00:00
2022-11-04T01:13:12+00:00
1件の脆弱性が修正されている。
Spiegel
https://baldanders.info/profile/
<p>毎度遅まきながらで申し訳ないが <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.3.8 がリリースされている。</p>
<ul>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q4/000475.html">[Announce] [CVE-2022-3515] GnuPG / Libksba Security Advisory</a></li>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q4/000476.html">[Announce] GnuPG 2.3.8 released</a></li>
</ul>
<p>今回は1件の脆弱性修正を含んでいる。</p>
<h2><a href="https://nvd.nist.gov/vuln/detail/CVE-2022-3515">CVE-2022-3515</a></h2>
<figure lang="en">
<blockquote>A severe bug has been found in [Libksba] , the library used by GnuPG for parsing the ASN.1 structures as used by S/MIME. The bug affects all versions of [Libksba] before 1.6.2 and may be used for remote code execution.</blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q4/000475.html">[CVE-2022-3515] GnuPG / Libksba Security Advisory</a></q></div></figcaption>
</figure>
<figure lang="en">
<blockquote><p>The major user of Libksba is /gpgsm/, the S/MIME cousin of /gpg/. There it is used to parse all kind of input data, in particular signed or encrypted data in files or in mails. Feeding a user with malicious data can thus be easily achieved.</p>
<p>A second user of Libksba is /dirmngr/, which is responsible for loading and parsing Certificate Revocation Lists (CRLs) and for verifying certificates used by TLS (i.e. https connections). Mounting an attack is a bit more complex but can anyway be easily done using a rogue web server to serve a Web Key Directory, certificates, or CRLs.</p>
<p>An exploit is not yet publicly known but very straightforward to create for experienced crooks.</p>
</blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q4/000475.html">[CVE-2022-3515] GnuPG / Libksba Security Advisory</a></q></div></figcaption>
</figure>
<p>今回の脆弱性について <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 側は以下のように見積もっている。</p>
<ul>
<li><code>CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H</code></li>
<li>深刻度: 重要 (Score: 8.1)</li>
</ul>
<table>
<thead>
<tr>
<th>基本評価基準</th>
<th>評価値</th>
</tr>
</thead>
<tbody>
<tr>
<td>攻撃元区分</td>
<td>ネットワーク</td>
</tr>
<tr>
<td>攻撃条件の複雑さ</td>
<td>高</td>
</tr>
<tr>
<td>必要な特権レベル</td>
<td>不要</td>
</tr>
<tr>
<td>ユーザ関与レベル</td>
<td>不要</td>
</tr>
<tr>
<td>スコープ</td>
<td>変更なし</td>
</tr>
<tr>
<td>機密性への影響</td>
<td>高</td>
</tr>
<tr>
<td>完全性への影響</td>
<td>高</td>
</tr>
<tr>
<td>可用性への影響</td>
<td>高</td>
</tr>
</tbody>
</table>
<h2><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連パッケージ</h2>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連の各パッケージのバージョンは以下の通り(数字は大体の<a href="https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/" title="Ubuntu で最新版 GnuPG をビルドする">ビルド</a>順)。</p>
<table>
<thead>
<tr>
<th style="text-align:right">#</th>
<th>パッケージ名</th>
<th>バージョン</th>
<th>公開日</th>
<th style="text-align:center">更新</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align:right">1</td>
<td><a href="https://gnupg.org/software/libgpg-error/">Libgpg-error</a></td>
<td>1.45</td>
<td>2022-10-07</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">2</td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.8.9 (LTS)</td>
<td>2022-02-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.10.1</td>
<td>2022-03-28</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">3</td>
<td><a href="https://gnupg.org/software/libassuan/">Libassuan</a></td>
<td>2.5.5</td>
<td>2021-03-22</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">4</td>
<td><a href="https://gnupg.org/software/libksba/">Libksba</a></td>
<td>1.6.2</td>
<td>2021-10-07</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">5</td>
<td><a href="https://gnupg.org/software/npth/">nPth</a></td>
<td>1.6</td>
<td>2018-07-16</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">6</td>
<td><a href="https://gnupg.org/software/ntbtls/">ntbTLS</a></td>
<td>0.3.1</td>
<td>2022-04-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">7</td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.2.40 (LTS)</td>
<td>2022-10-10</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.3.8</td>
<td>2022-10-13</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
</tbody>
</table>
<p>現在 <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> には2.2系と2.3系があり<sup id="fnref:1"><a href="#fn:1" class="footnote-ref" role="doc-noteref">1</a></sup>,2.2系は LTS 版に位置付けられている。
2.3系では AEAD (Authenticated Encryption with Associated Data) 等 <a href="https://datatracker.ietf.org/doc/draft-ietf-openpgp-rfc4880bis/" title="draft-ietf-openpgp-rfc4880bis - OpenPGP Message Format">RFC 4880bis</a> で検討されている機能が実装されているので,最新機能を試したいのであればこちらを入れるとよいだろう。
なお2.2系は少なくとも2024年末まではサポートが続けられる予定である。
通常運用であれば,当面は2.2系でも問題ない(<a href="https://text.baldanders.info/openpgp/using-ecc-with-gnupg/" title="そろそろ GnuPG でも ECC を標準で使うのがいいんじゃないかな">ECC も対応</a>してるよ)。</p>
<p>アップデートは計画的に。</p>
<h2>ブックマーク</h2>
<ul>
<li><a href="https://text.baldanders.info/openpgp/">OpenPGP の実装</a></li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="footnotes" role="doc-endnotes">
<hr>
<ol>
<li id="fn:1">
<p>厳密には1.4系もあるが,これは legacy 版と位置付けられており,よほどのバグか脆弱性がない限りは更新されない。もし今だに1.4系(あるいは既にサポートされていない2.0/2.1系)を使っているのなら2.2系以降にアップグレードすることを強くお勧めする。 <a href="#fnref:1" class="footnote-backref" role="doc-backlink">↩︎</a></p>
</li>
</ol>
</div>
GnuPG 2.3.7 のリリース【セキュリティ・アップデート】
tag:text.Baldanders.info,2022-08-14:/release/2022/07/gnupg-2_3_7-is-released/
2022-08-14T01:10:01+00:00
2022-08-14T01:12:06+00:00
1件の脆弱性が修正されている。
Spiegel
https://baldanders.info/profile/
<p>サボってました。
まじすんません。</p>
<p>毎度遅まきながらで申し訳ないが <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.3.6 および 2.3.7 がリリースされている。</p>
<ul>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q2/000473.html">[Announce] GnuPG 2.3.6 released</a></li>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q3/000474.html">[Announce] GnuPG 2.3.7 released</a></li>
</ul>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.3.7 については1件の脆弱性が修正されている。</p>
<figure lang="en">
<blockquote>This release fixes CVE-2022-34903 which could be used to inject wrong status information in signatures. The status information could then be abused to display a wrong validity in Kleopatra and other users of GPGME.</blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q2/000472.html">GnuPG 2.3.7 released</a></q></div></figcaption>
</figure>
<h2><a href="https://nvd.nist.gov/vuln/detail/CVE-2022-34903">CVE-2022-34903</a></h2>
<figure lang="en">
<blockquote>Fix possibly garbled status messages in <code>NOTATION_DATA</code>. This bug could trick GPGME and other parsers to accept faked status lines.</blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q2/000472.html">GnuPG 2.3.7 released</a></q></div></figcaption>
</figure>
<ul>
<li><code>CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N</code></li>
<li>深刻度: 警告 (Score: 6.5)</li>
</ul>
<table>
<thead>
<tr>
<th>基本評価基準</th>
<th>評価値</th>
</tr>
</thead>
<tbody>
<tr>
<td>攻撃元区分</td>
<td>ネットワーク</td>
</tr>
<tr>
<td>攻撃条件の複雑さ</td>
<td>高</td>
</tr>
<tr>
<td>必要な特権レベル</td>
<td>不要</td>
</tr>
<tr>
<td>ユーザ関与レベル</td>
<td>不要</td>
</tr>
<tr>
<td>スコープ</td>
<td>変更なし</td>
</tr>
<tr>
<td>機密性への影響</td>
<td>高</td>
</tr>
<tr>
<td>完全性への影響</td>
<td>低</td>
</tr>
<tr>
<td>可用性への影響</td>
<td>なし</td>
</tr>
</tbody>
</table>
<h2><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連パッケージ</h2>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連の各パッケージのバージョンは以下の通り(数字は大体の<a href="https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/" title="Ubuntu で最新版 GnuPG をビルドする">ビルド</a>順)。</p>
<table>
<thead>
<tr>
<th style="text-align:right">#</th>
<th>パッケージ名</th>
<th>バージョン</th>
<th>公開日</th>
<th style="text-align:center">更新</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align:right">1</td>
<td><a href="https://gnupg.org/software/libgpg-error/">Libgpg-error</a></td>
<td>1.45</td>
<td>2022-04-21</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">2</td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.8.9 (LTS)</td>
<td>2022-02-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.10.1</td>
<td>2022-03-28</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">3</td>
<td><a href="https://gnupg.org/software/libassuan/">Libassuan</a></td>
<td>2.5.5</td>
<td>2021-03-22</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">4</td>
<td><a href="https://gnupg.org/software/libksba/">Libksba</a></td>
<td>1.6.0</td>
<td>2021-06-10</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">5</td>
<td><a href="https://gnupg.org/software/npth/">nPth</a></td>
<td>1.6</td>
<td>2018-07-16</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">6</td>
<td><a href="https://gnupg.org/software/ntbtls/">ntbTLS</a></td>
<td>0.3.1</td>
<td>2022-04-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">7</td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.2.36 (LTS)</td>
<td>2022-07-06</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.3.7</td>
<td>2022-07-11</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
</tbody>
</table>
<p>うわっ! 2.2系もバージョンが上がってるぢゃん。
アナウンスがないぞ。</p>
<p>現在 <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> には2.2系と2.3系があり<sup id="fnref:1"><a href="#fn:1" class="footnote-ref" role="doc-noteref">1</a></sup>,2.2系は LTS 版に位置付けられている。
2.3系では AEAD (Authenticated Encryption with Associated Data) 等 <a href="https://datatracker.ietf.org/doc/draft-ietf-openpgp-rfc4880bis/" title="draft-ietf-openpgp-rfc4880bis - OpenPGP Message Format">RFC 4880bis</a> で検討されている機能が実装されているので,最新機能を試したいのであればこちらを入れるとよいだろう。
なお2.2系は少なくとも2024年末まではサポートが続けられる予定である。
通常運用であれば,当面は2.2系でも問題ない(<a href="https://text.baldanders.info/openpgp/using-ecc-with-gnupg/" title="そろそろ GnuPG でも ECC を標準で使うのがいいんじゃないかな">ECC も対応</a>してるよ)。</p>
<p>アップデートは計画的に。</p>
<h2>ブックマーク</h2>
<ul>
<li><a href="https://text.baldanders.info/openpgp/">OpenPGP の実装</a></li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="footnotes" role="doc-endnotes">
<hr>
<ol>
<li id="fn:1">
<p>厳密には1.4系もあるが,これは legacy 版と位置付けられており,よほどのバグか脆弱性がない限りは更新されない。もし今だに1.4系(あるいは既にサポートされていない2.0/2.1系)を使っているのなら2.2系以降にアップグレードすることを強くお勧めする。 <a href="#fnref:1" class="footnote-backref" role="doc-backlink">↩︎</a></p>
</li>
</ol>
</div>
GnuPG 2.3.5 のリリース
tag:text.Baldanders.info,2022-04-23:/release/2022/04/gnupg-2_3_5-is-released/
2022-04-23T04:03:03+00:00
2022-04-23T04:04:28+00:00
セキュリティ・アップデートはなし。
Spiegel
https://baldanders.info/profile/
<p>毎度遅まきながらで申し訳ないが <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 2.3.5 がリリースされている。</p>
<ul>
<li><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q2/000472.html">[Announce] GnuPG 2.3.5 released</a></li>
</ul>
<p>セキュリティ・アップデートはなし。
詳細はこちら。</p>
<figure lang="en">
<blockquote><ul>
<li>gpg: Up to five times faster verification of detached signatures. Doubled detached signing speed. [T5826,rG4e27b9defc,rGf8943ce098]</li>
<li>gpg: Threefold decryption speedup for large files. [T5820,rGab177eed51]</li>
<li>gpg: Nearly double the AES256.OCB encryption speed. [rG99e2c178c7]</li>
<li>gpg: Removed EAX from the preference list. [rG253fcb9777]</li>
<li>gpg: Allow <code>--dearmor</code> to decode all kinds of armor files. [rG34ea19aff9]</li>
<li>gpg: Remove restrictions for the name part of a <code>user-id</code>. [rG8945f1aedf]</li>
<li>gpg: Allow decryption of symmetric encrypted data even for non-compliant cipher. [rG8631d4cfe2]</li>
<li>gpg,gpgsm: New option <code>--require-compliance</code>. [rGee013c5350]</li>
<li>gpgsm: New option -<code>-ignore-cert-with-oid</code>. [rGe23dc755fa]</li>
<li>gpgtar: Create and handle extended headers to support long file names. [T5754]</li>
<li>gpgtar: Support file names longer than <code>MAX_PATH</code> on Windows. [rG70b738f93f]</li>
<li>gpgtar: Use a pipe for decryption and thus avoid memory exhaustion. [rGe5ef5e3b91]</li>
<li>gpgtar: New option <code>--with-log</code>. [rGed53d41b4c]</li>
<li>agent: New flag “qual” for the trustlist.txt. [rG7c8c606061]</li>
<li>scdaemon: Add support for GeNUA cards. [rG0dcc249852]</li>
<li>scdaemon: Add <code>--challenge-response</code> option to <code>PK_AUTH</code> for OpenPGP cards. [T5862]</li>
<li>dirmngr: Support the use of ECDSA for CRLs and OCSP. [rGde87c8e1ea,rG890e9849b5]</li>
<li>dirmngr: Map all gnupg.net addresses to the Ubuntu keyserver. [T5751]</li>
<li>ssh: Return a faked response for the new session-bind extension. [T5931]</li>
<li>gpgconf: Add command aliases <code>-L</code> <code>-K</code> <code>-R</code>. [rGec4a1cffb8]</li>
<li>gpg: Request keygrip of key to add via command interface. [T5771]</li>
<li>gpg: Print Yubikey version correctly. [T5787]</li>
<li>gpg: Always use version >= 4 to generate key signature. [T5809]</li>
<li>gpg: Fix generating AEAD packet. [T5853]</li>
<li>gpg: Fix version on symmetric encrypted AEAD files if the force option is used. [T5856]</li>
<li>gpg: Fix adding the list of ultimate trusted keys. [T5742]</li>
<li>gpgsm: Fix parsing of certain PKCS#12 files. [T5793]</li>
<li>gpgsm: Print diagnostic about CRL problems due to Tor mode. [rG137e59a6a5]</li>
<li>agent: Use “<code>Created:</code>” field for creation time. [T5538]</li>
<li>scdaemon Fix error handling for a PC/SC reader selected with <code>reader-port</code>. [T5758]</li>
<li>scdaemon: Fix <code>DEVINFO</code> with no <code>--watch</code>. [rGc6dd9ff929]</li>
<li>scdaemon: Fix socket resource leak on Windwos. [T5029]</li>
<li>scdaemon: Use extended mode for pkcs#15 already for rsa2048. [rG597253ca17]</li>
<li>scdaemon: Enhance <code>PASSWD</code> command to accept <code>KEYGRIP</code> optionally. [T5862]</li>
<li>scdaemon: Fix memory leak in ccid-driver. [rG8ac92f0e80]</li>
<li>tpm: Always use hexgrip when storing a key password. [rGaf2fbd9b01]</li>
<li>dirmngr: Make WKD lookups work for resolvers not handling SRV records. [T4729]</li>
<li>dirmngr: Avoid initial delay on the first keyserver access in presence of <code>--no-use-tor</code>. [rG57d546674d]</li>
<li>dirmngr: Workaround for a certain broken LDAP URL. [rG90caa7ad59]</li>
<li>dirmngr: Escape more characters in WKD requests. [T5902]</li>
<li>dirmngr: Suppress error message on trial reading as PEM format. [T5531]</li>
<li>gpgconf: Fix component table when not building without TPM support. [T5701]</li>
<li>gpgconf: Silence warnings from parsing the option files. [T5874]</li>
<li>gpgconf: Do not list ignored options and mark forced options as <code>read-only</code>. [rG42785d7c8a]</li>
<li>gpgconf: Tweak the use of the ldapserver option. [T5801]</li>
<li>ssh: Fix adding an <code>ed25519</code> key with a zero length comment. [T5794]</li>
<li>kbx: Fix searching for FPR20 in version 2 blob. [T5888]</li>
<li>Fix early homedir creation. [T5895]</li>
<li>Improve removing of stale lockfiles under Unix. [T5884]</li>
</ul>
<p>Release-info: <a href="https://dev.gnupg.org/T5743">https://dev.gnupg.org/T5743</a></p></blockquote>
<figcaption><div>via <q><a href="https://lists.gnupg.org/pipermail/gnupg-announce/2022q2/000472.html">GnuPG 2.3.5 released</a></q></div></figcaption>
</figure>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> 関連の各パッケージのバージョンは以下の通り(数字は大体の<a href="https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/" title="Ubuntu で最新版 GnuPG をビルドする">ビルド</a>順)。</p>
<table>
<thead>
<tr>
<th style="text-align:right">#</th>
<th>パッケージ名</th>
<th>バージョン</th>
<th>公開日</th>
<th style="text-align:center">更新</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align:right">1</td>
<td><a href="https://gnupg.org/software/libgpg-error/">Libgpg-error</a></td>
<td>1.45</td>
<td>2022-04-21</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">2</td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.8.9 (LTS)</td>
<td>2022-02-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/libgcrypt/">Libgcrypt</a></td>
<td>1.10.1</td>
<td>2022-03-28</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">3</td>
<td><a href="https://gnupg.org/software/libassuan/">Libassuan</a></td>
<td>2.5.5</td>
<td>2021-03-22</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">4</td>
<td><a href="https://gnupg.org/software/libksba/">Libksba</a></td>
<td>1.6.0</td>
<td>2021-06-10</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">5</td>
<td><a href="https://gnupg.org/software/npth/">nPth</a></td>
<td>1.6</td>
<td>2018-07-16</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right">6</td>
<td><a href="https://gnupg.org/software/ntbtls/">ntbTLS</a></td>
<td>0.3.1</td>
<td>2022-04-07</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
<tr>
<td style="text-align:right">7</td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.2.34 (LTS)</td>
<td>2022-02-07</td>
<td style="text-align:center"></td>
</tr>
<tr>
<td style="text-align:right"></td>
<td><a href="https://gnupg.org/software/">GnuPG</a></td>
<td>2.3.5</td>
<td>2022-04-21</td>
<td style="text-align:center"><span><i class="fa-solid fa-check"></i></span></td>
</tr>
</tbody>
</table>
<p>現在 <a href="https://gnupg.org/" title="The GNU Privacy Guard">GnuPG</a> には2.2系と2.3系があり<sup id="fnref:1"><a href="#fn:1" class="footnote-ref" role="doc-noteref">1</a></sup>,2.2系は LTS 版に位置付けられている。
2.3系では AEAD (Authenticated Encryption with Associated Data) 等 <a href="https://datatracker.ietf.org/doc/draft-ietf-openpgp-rfc4880bis/" title="draft-ietf-openpgp-rfc4880bis - OpenPGP Message Format">RFC 4880bis</a> で検討されている機能が実装されているので,最新機能を試したいのであればこちらを入れるとよいだろう。
なお2.2系は少なくとも2024年末まではサポートが続けられる予定である。
通常運用であれば,当面は2.2系でも問題ない(<a href="https://text.baldanders.info/openpgp/using-ecc-with-gnupg/" title="そろそろ GnuPG でも ECC を標準で使うのがいいんじゃないかな">ECC も対応</a>してるよ)。</p>
<p>アップデートは計画的に。</p>
<h2>ブックマーク</h2>
<ul>
<li><a href="https://text.baldanders.info/openpgp/">OpenPGP の実装</a></li>
</ul>
<h2>参考図書</h2>
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51ZRZ62WKCL._SL160_.jpg" width="108" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/4314009071?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号化 プライバシーを救った反乱者たち</a></dt>
<dd>スティーブン・レビー (著), 斉藤 隆央 (翻訳)</dd>
<dd>紀伊國屋書店 2002-02-16</dd>
<dd>単行本</dd>
<dd>4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">20世紀末,暗号技術の世界で何があったのか。知りたかったらこちらを読むべし!</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-03-09">2015-03-09</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号化 プライバシーを救った反乱者たち -->
<div class="hreview">
<div class="photo"><a href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1"><img src="https://m.media-amazon.com/images/I/51t6yHHVwEL._SL160_.jpg" width="113" alt="photo"></a></div>
<dl>
<dt class="item"><a class="fn url" href="https://www.amazon.co.jp/dp/B015643CPE?tag=baldandersinf-22&linkCode=ogi&th=1&psc=1">暗号技術入門 第3版 秘密の国のアリス</a></dt>
<dd>結城 浩 (著)</dd>
<dd>SBクリエイティブ 2015-08-25 (Release 2015-09-17)</dd>
<dd>Kindle版</dd>
<dd>B015643CPE (ASIN)</dd>
<dd>評価<abbr class="rating fa-sm" title="5"> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i> <i class="fas fa-star"></i></abbr></dd>
</dl>
<p class="description">SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。</p>
<p class="powered-by">reviewed by <a href='#maker' class='reviewer'>Spiegel</a> on <abbr class="dtreviewed" title="2015-09-20">2015-09-20</abbr> (powered by <a href="https://affiliate.amazon.co.jp/assoc_credentials/home">PA-APIv5</a>)</p>
</div> <!-- 暗号技術入門 第3版 -->
<div class="footnotes" role="doc-endnotes">
<hr>
<ol>
<li id="fn:1">
<p>厳密には1.4系もあるが,これは legacy 版と位置付けられており,よほどのバグか脆弱性がない限りは更新されない。もし今だに1.4系(あるいは既にサポートされていない2.0/2.1系)を使っているのなら2.2系以降にアップグレードすることを強くお勧めする。 <a href="#fnref:1" class="footnote-backref" role="doc-backlink">↩︎</a></p>
</li>
</ol>
</div>