Quais são os riscos de usar o GnuPG 1.4.9 com a mensagem de memória insegura?

Question

Eu tenho o Cygwin instalado em vários computadores e gostaria de usar o GnuPG incluído para criptografar arquivos apenas para meu uso. A versão do GnuPG incluída é 1.4.9, mas parece que também há uma versão 2.1 disponível. Há algum risco de segurança ao usar 1.4.9 em vez de 2.1?

Em segundo lugar, quando executo o GnuPG recebo uma mensagem de memória insegura, isso é algo para se preocupar? Meu entendimento é que isso é apenas um problema se eu estiver preocupado em perder o acesso físico à máquina e não quiser que as informações gravadas no arquivo de troca possam permitir que alguém descriptografe meus arquivos ou se eu estiver em um sistema com vários usuários onde alguém poderia ler páginas de memória associadas ao meu processo do GnuPG.

    

Answer 1

The version of GnuPG included is 1.4.9 but it appears that there’s also a version 2.1 available. Are there any security risks to using 1.4.9 instead of 2.1?

É sempre uma boa ideia usar a versão mais recente, especialmente com SW de segurança crítica, como criptografia. No entanto, GnuPG 1.xe 2.x estão sendo mantidos em paralelo, e a última versão da série 1.x é 1.4.11, então você não está tão desatualizado. Os changelogs para 1.4.10 e 1.4.11 não mencionam nenhuma correção de segurança, então você provavelmente está OK.

Secondly when I run GnuPG I get an insecure memory message, is this something to be worried about? My understanding is that this is only an issue if I’m worried about losing physical access to the machine and don’t want info written to the swap file that may allow someone to decrypt my files or if I’m on a multi user system where someone else could read memory pages associated with my GnuPG process.

Sim, precisamente. Se você for a única pessoa que usa seu computador e não estiver preocupado com um invasor com acesso físico ao seu hardware, poderá ignorar o aviso. Você pode desativá-lo, ver o FAQ do GnuPG .