GnuPG 2.5.19 版本发布：新增功能、修复漏洞，旧版 2 个月后停维！

什么是 GnuPGGNU 隐私卫士GnuPGGPG是 OpenPGP 和 S/MIME 标准的完整且免费的实现。它能对数据和通信进行加密和签名有多功能的密钥管理系统还有访问公钥目录的模块。GnuPG 本身是命令行工具方便和其他应用程序集成。独立的库 GPGME 为用通用编程语言编写的软件提供统一 API 来调用 GnuPG 引擎。此外还有大量使用 GnuPG 的前端应用程序和库。作为通用加密引擎GnuPG 除支持 OpenPGP 外还支持 S/MIME 和安全外壳Secure Shell。GnuPG 是自由软件可按 GNU 通用公共许可证的条款自由使用、修改和分发。2.5.19 版本2026 年 4 月 24 日的显著变化与 2.5.18 版本相比新特性和扩展功能-gpg新增选项 --use-ocb-sym。[rGccdcdfbb37]-gpg新增选项 --show-[only-]session-hash。[rGecd0f7afa1]-gpgsm允许 --cipher-algo 选项指定的算法中包含加密模式。[T3979]-gpgsm在检查 CRL 分发点crlDP失败时输出更多详细信息。[T8221]-agent改进智能卡环境下的 pinentry 行为和提示文本。[T6425]-dirmngr--keyserver 新增关键字 “clear”。[rG2ab4cba36c]漏洞修复-gpg修复 --refresh-keys 中的边缘情况。[T8197]-gpg避免使用空密码调用 gcry_kdf_derive。[T7739]-gpgsm跳过可选的 PKCS#12 PBES2 密钥长度参数以允许导入德国电信最近颁发的证书。[rGc8c9604bba]-gpgsm修复一个漏洞使证书可以使用不同的算法进行签名。[rG66fdafab3c]-gpgsm使 GCM 在 de-vs 模式下完全兼容。[rG04fd775fce]-gpgsm添加证书链检查以确保符合 de-vs 标准。[T8188]-gpgsm在列表中显示 RSA PSS 证书符合 de-vs 标准。[T8222]-agent重新编写信任列表读取代码以支持缺少末尾换行符的 trustlist.txt 文件。[T8078]-ssh修复签名处理中的 RSA 填充问题。[T7882, T8202]-gpgtar修复 -C--directory选项使其检查输出目录。[T8159]其他更改-agent当 RSA 密钥的 p q 时抛出错误以检测不正确生成的 PGP 密钥。[T8171]发布信息获取软件大家可以遵循 中的说明来获取软件也可以接着看下面内容。GnuPG 能从 GnuPG 镜像站点之一下载也能直接从其主文件服务器下载。镜像站点列表可在 找到。要注意GnuPG 无法从 ftp.gnu.org 下载。使用 BZIP2 压缩的 GnuPG 源代码及其 OpenPGP 签名可在以下链接获取- 8127k-一个适用于 Windows 的安装程序除了一个非常简单的 Pinentry 工具外没有任何图形前端可在以下链接获取- 5627k-用于构建 64 位 Windows 安装程序的源代码可在以下链接获取- 15M-这个源代码压缩包也能用于一次性下载所有必需的库以便在任何现代系统上构建 Unix 版本。具体操作可参考其中包含的 README 文件。Debian 软件包我们还给一些 Debian 变体提供了 Debian 风格的软件包。大家可以访问 也可以用菜单切换到其他发行版/版本。要是遇到软件包相关问题可将其报告给 gnupg-devel 邮件列表。由于假期原因软件包可能需要几天时间才能上线。Windows 安装程序新版 Gpg4win 正在规划中。受现已修复的漏洞影响的用户可以在 gpg4win 5.0.1 之上安装上述简单的 Windows 安装程序。检查完整性已安装 GnuPG 的情况要是已经安装了 GnuPG 版本可直接验证提供的签名。比如要验证 gnupg-2.5.19.tar.bz2 文件的签名可使用以下命令gpg --verify gnupg-2.5.19.tar.bz2.sig gnupg-2.5.19.tar.bz2此命令用于检查签名文件是否与源文件匹配。你会看到一条消息表明签名有效且是由一个或多个发布签名密钥生成的。要确保该密钥有效可将显示的指纹与可信的有效发布签名密钥列表比对或检查该密钥是否由其他可信密钥签名。有关签名密钥的信息可参阅本邮件末尾。未安装 GnuPG 的情况若无法使用现有的 GnuPG 版本则需要验证 SHA-1 校验和。在 Unix 系统上可使用 sha1sum 或 shasum 命令。假设下载了 gnupg-2.5.19.tar.bz2 文件可运行以下命令sha1sum gnupg-2.5.19.tar.bz2然后检查输出是否与以下内容匹配dbe9ce2aca9d553ed4367692575cee15204a95a6 gnupg-2.5.19.tar.bz2e4de189d1310893b2f8e565781d25093944b883e gnupg-w32-2.5.19_20260424.tar.xza2b9b2d0ad979209e1c74f28ff910ce6f97f0e41 gnupg-w32-2.5.19_20260424.exe国际化此版本的 GnuPG 支持 26 种语言其中中文、捷克语、荷兰语、法语、格鲁吉亚语、德语、意大利语、日语、挪威语、波兰语、葡萄牙语、俄语、土耳其语和乌克兰语的翻译已基本完成。文档和支持gnupg.info 文件包含了该系统的完整参考手册。此外还提供了单独的手册页但其中缺少一些仅在手册中才有的详细信息。手册也能在以下网址在线查看或者以 PDF 格式下载大家也可以搜索 GnuPG 邮件列表存档或在 gnupg-users 邮件列表上寻求解决问题的建议。大多数新功能已经存在多年因此有足够的公开经验可供参考。 上有用户贡献的关于 GnuPG 及相关软件的信息。如果在应用程序中使用明文签名请阅读 也可以参考 。要是在构建此版本时遇到特定问题请先查看 以获取最新信息。由于该服务正在遭受持续的拒绝服务攻击你可能会看到“正在维护”页面对此我们深表歉意。在报告漏洞之前请先查阅 gnupg-users 邮件列表的存档。我们建议将新版本的漏洞报告发送到该列表而不是在 上提交。如果你需要商业支持请访问 或 。如果你是开发者并且你的项目需要特定功能请随时在 gnupg-devel 邮件列表上进行讨论。致谢自 2001 年以来GnuPG 的维护和开发工作由 g10 Code GmbH 负责主要资金来源于捐赠。一支由全职开发者和承包商组成的团队专门从事 GnuPG 及相关软件如 Libgcrypt、GPGME、Kleopatra、Okular 和 Gpg4win的开发工作。幸运的是与其他自由软件不同我们找到了一种在保持软件自由且免费供所有人使用的同时为开发提供资金支持的方式。我们的模式类似于 RedHat 管理 RHEL 和 Fedora 的方式除了 Windows 的 MSI 安装程序的实际二进制文件和特定客户端配置文件外所有软件都遵循 GNU GPL 和其他开源许可证。因此只要不使用我们的商标 GnuPG Desktop® 或 GnuPG VS-Desktop®客户甚至可以自行构建和分发软件版本。我们要感谢所有帮助 GnuPG 项目的好心人包括参与测试、编码、翻译、提出建议、进行审计、管理服务器、宣传推广、在邮件列表上答疑解惑以及提供捐赠的人。感谢大家你们的 GnuPG 开发团队附言这是一个仅用于发布公告的邮件列表。请仅将回复发送到 gnupg-users at gnupg.org 邮件列表。Debian 软件包签名密钥新的 Debian 风格软件包使用以下密钥进行签名ed25519 2025-07-08 [SC] [有效期至: 2035-07-14]3209 7B71 9B37 45D6 E61D DA1B 85C4 5AE3 E1A2 B355GnuPG.org 软件包签名密钥 [package-maintainers at gnupg.org](http://lists.gnupg.org/mailman/listinfo/gnupg-announce)有关支持的发行版列表和密钥下载链接请访问软件包网站 。发布签名密钥列表为确保下载的版本未被恶意篡改我们为所有压缩包和二进制版本提供了签名文件。这些密钥也由其所有者的长期密钥进行了签名。当前版本由以下五个密钥中的一个或多个进行签名ed25519 2020-08-24 [SC] [有效期至: 2030-06-30]6DAA 6E64 A76D 2840 571B 4902 5288 97B8 2640 3ADAWerner Koch2020 年发行签名ed25519 2021-05-19 [SC] [有效期至: 2027-04-04]AC8E 115B F73E 2D8D 47FA 9908 E98E 9B2D 19C6 C8BDNiibe YutakaGnuPG 发布密钥rsa3072 2025-05-09 [SC] [有效期至: 2033-03-03]3B76 1AE4 E63B F351 9CE7 D63B ECB6 64CB E133 2EEFAlexander KulbartschGnuPG 发布密钥brainpoolP256r1 2021-10-15 [SC] [有效期至: 2029-12-31]02F3 8DFF 731F F97C B039 A1DA 549E 695E 905B A208GnuPG.com2021 年发布签名密钥brainpoolP384r1 2026-02-23 [SC] [有效期至: 2034-02-23]1493 269D E61F 124A A69A 316E 3ADF 34EB DBB2 00A4GnuPG.com2026 年发布签名密钥这些密钥可在 找到也可以在最近发布的 GnuPG 压缩包的 g10/distsigkey.gpg 文件中获取。请注意本邮件是使用不同的密钥进行签名的。Debian 软件包签名密钥新的 Debian 风格软件包使用以下密钥进行签名ed25519 2025-07-08 [SC] [有效期至: 2035-07-14]3209 7B71 9B37 45D6 E61D DA1B 85C4 5AE3 E1A2 B355GnuPG.org 软件包签名密钥 [package-maintainers at gnupg.org](http://lists.gnupg.org/mailman/listinfo/gnupg-announce)