Nach dreieinhalb Jahren Entwicklung wurde es veröffentlicht das Bearbeitungspaket Sequoia 1.0Entwicklung einer Bibliothek von Befehlszeilentools und -funktionen mit der Implementierung des OpenPGP-Standards (RFC-4880).
Der Start fasste die Arbeit an der Low-Level-API zusammen, die die Abdeckung des OpenPGP-Standards implementiert und für die vollständige Nutzung ausreicht. Der Projektcode ist in Rust geschrieben und wird unter der GPLv2 + -Lizenz verteilt.
Das Projekt wurde von drei GnuPG-Mitarbeitern von g10code gegründet. Entwickler von GnuPG-Plugins und Kryptosystem-Auditing. Das Sequoia-Team ist auch dafür bekannt, den Hagrid-Keyserver zu erstellen, der vom Dienst keys.openpgp.org verwendet wird.
Ziel des neuen Projekts war es, die Architektur neu zu gestalten und neue Techniken anzuwenden, um die Sicherheit und Zuverlässigkeit der Codebasis zu verbessern.
Um die Sicherheit zu verbessern, Sequoia verwendet nicht nur Programmierwerkzeuge sicher, dass sie die Sprache verwenden Rost, aber auch API-Fehlerschutz.
Zum Beispiel Mit der API können Sie nicht versehentlich geheimes Schlüsselmaterial exportierenda Exportvorgänge standardmäßig eine explizite Auswahl erfordern. Außerdem stellt die API sicher, dass beim Aktualisieren einer digitalen Signatur keine wichtigen Schritte übersehen werden. Standardmäßig werden die Erstellungszeit, der Hashing-Algorithmus und der Aussteller der Signatur automatisch aktualisiert.
Sequoia Sie versuchen auch, GnuPG-Mängel zu beseitigenB. die Desynchronisierung der Funktionalität der Befehlszeilentools mit der Funktionsbibliothek (einige Aktionen können nur mit dem Dienstprogramm ausgeführt werden) und eine zu enge Kopplung zwischen Komponenten, die Änderungen erschwert, die Codebasis verschleiert und die Erstellung verhindert eines kompletten Einheitensystems. -Tests.
Sequoia Entwickelt das Befehlszeilenprogramm sq mit Unterstützung für Unterbefehle im Git-Stil, das sqv-Programm (Ersatz für gpgv) zum Überprüfen separater Signaturen, das sqop-Dienstprogramm (Stateless OpenPGP CLI) und die sequoia-openpgp-Bibliothek.
Es gibt Links für die Sprachen C und Python. Die meisten im OpenPGP-Standard beschriebenen Funktionen unterstützen die Verschlüsselung, Entschlüsselung, Erstellung und Überprüfung digitaler Signaturen.
Unter den erweiterten Funktionen wird darauf hingewiesen, dass es die Überprüfung mit separat bereitgestellten digitalen Signaturen (separate Signatur), die Anpassung an die Integration mit Paketmanagern (APT, RPM, Upload usw.) sowie die Möglichkeit unterstützt, Signaturen durch Schwellen- und Zeitwerte zu begrenzen.
Um die Entwicklung, das Debuggen und die Ereignisanalyse zu vereinfachen, werden Tools zur Paketinspektion bereitgestellt, die in den Analysator integriert sind und es Ihnen ermöglichen, die Struktur verschlüsselter Nachrichten, digitaler Signaturen und Schlüssel visuell zu analysieren.
Aus Sicherheitsgründen, Die Verwendung von kryptografischen Diensten wie Coprozessoren für isoliertes Enklaven-Computing wird unterstützt. Zur zusätzlichen Isolation wird die Trennung der Dienste, die mit öffentlichen und privaten Schlüsseln arbeiten, in separate Prozesse geübt (die Interaktion der Prozesse wird mithilfe des Cap'n Proto-Protokolls organisiert). Beispielsweise wird ein Schlüsselspeicher in Form eines separaten Prozesses entwickelt.
Es gibt zwei API-Optionen: niedriges Niveau und hohes Niveau. Die Low-Level-API reproduziert die Funktionen von OpenPGP und einigen verwandten Erweiterungen wie ECC-Unterstützung, Notarisierung (Signatur auf Signatur) und Elemente des Entwurfs der zukünftigen Ausgabe des Standards so genau wie möglich.
Es wird beobachtet, dass gemäß der geplanten Funktionalität, Sequoia hat vor einem Jahr die Bereitschaft für Version 1.0 erreicht, aber Die Entwickler beschlossen, sich nicht zu beeilen und mehr Zeit zu verbringen um nach Fehlern zu suchen und eine vollständige und qualitativ hochwertige Dokumentation mit Links zu Informationen im OpenPGP-Standard und Verwendungsbeispielen zu schreiben.
Version 1.0 deckt bisher nur die Box Sequoia-OpenPGP ab und das Dienstprogramm zur Überprüfung der digitalen Signatur von sqv. Die "sq" CLI und die High-Level-APIs haben sich noch nicht stabilisiert und werden derzeit fertiggestellt.
Zu den Einschränkungen, die in zukünftigen Versionen entfernt werden sollen, gehören die Implementierung von Diensten zum Speichern privater und öffentlicher Schlüssel, die Unterstützung digitaler Klartextsignaturen und die Möglichkeit, reguläre Ausdrücke zur Ermittlung vertrauenswürdiger Signaturen zu verwenden.