GPG 的正确使用妆势

Mon 16 August 2021

关于 GPG 的基本概念 , 这里就不过多阑述了 , 没有基础知识的同学建议先学一些网络上的基础教程。要先对 GPG 有一定的基础理解。

[scode type=「“yellow「“] 本文中生成的 GPG 密钥仅为示例使用 , 本人并不使用文中的密钥 , 请注意鉴别。[/scode]

准备工作了解 GPG 基本概念 , 熟悉命令行操作目安装好虞拟机发却个效 Tails 系统镜像 3. 一颗追求信息安全的核心思想平时只使用子密钻 , 将主密钥存储在受信的地方例如 TPM 或进行加密。创建主密钢

首先创建一个新的 GPG 密钥对 , 一定要在虚拟机或者 Tails 或者你信任的电脑上操作。

使用 --full-generate-key 和 --expert 来生成密钥对 , RSA4096 比 ECC Curve 25519 要安全一点 , 河河 p RSA4096, 且只用来 Certify。

rainshawubunttls~S _qnaq -f11-aenerate~kKey -exDeT 三首先创建一个新的 GPG 密钥对 , 一定要在虚拟机或者 Tails 或者你信任的电脑上操作。

使用 --full-generate-key 和 --expert 来生成密钥对 , 由于 RSA4096 比 ECC Curve 25519 要安全一点 , 这里我们的主密钥使用 RSA4096, 且只用来 Certify。

rainshaweubuntu:~$ gpg --fulLl1-generate-key --expert

This is free software: You are free to change and redistribute it。

There is NO NARRANTY,to the extent permitted by Law.。

PlLease select what kind of key you want : (1) RSA and RSA (default) (2) DSA and BLgamal (3) DSA (sign on1y ) (4) RSA (sign on1y ) (7) DSA (set your own capabilities ) (8) RSA (set your own capabilities ) (9) ECC and BCC (10) ECC (sign on1y) (11) ECC (set your own Capabilities ) (13) Bxisting key (14) Bxisting key from carQd

Your Selection? 8

选择 8 自定义用途

Possible actions for a RSA key: Sign Certify EncrYPt Authenticate Current allowed actions: 8ign Certify EncrYPL

(58) Toggle the sign capability

(B) Toggle the encrypt capability

(A) Toggle the authenticate capability (0) Finished Possible actions for a RSA key: Sign Certify EncrYPt Authenticate Current allowed actions: 8ign Certify EncrYPL

(58) Toggle the sign capability

(B) Toggle the encrypt capability

(A) Toggle the authenticate capability (0) Finished

Your Selection? 8

Possible actions for a RSA key: Sign Certify EncrYPt Authenticate Current allowed actions: Certify EncrYPL

(58) Toggle the sign capability

(B) Toggle the encrypt capability

(A) Toggle the authenticate capability (0) Finished

Your selection? e Possible actions for a RSA key: Sign Certify EncrYPt Authenticate Current allowed actions: CertifyY (58) Toggle the sign capability (B) Toggle the encrypt capability (A) Toggle the authenticate capability (0) Finished

Your selection? d

去掉 Sign 签名、Encrypt 加密用途 , 只保留 Certify 证明用途。

RSR keys may be between 1024 and 4096 bits Long . What keysize do you want? (3072) 4096

使用 4096 位 RSA 密钥更安全 , 基本无法破解。 Ru KeyS may 2e 2ecween u<4 _and 《U46 L5S Ong 。 What keysize do you want? (3072) 4096

使用 4096 位 RSA 密钥更安全 , 基本无法破解。

Requested keysize is8 4096 bits PLease specify how Long the key shouLd be Valid. 0 = key does not expire = key expires in n days w = key expires in n weeks m = key expires in n months y = key expires in n Year8 Key is8 valid for? (0) Key does not expire at al1 Is this correct2? (Y/N) Y

妓置密钥的有效期 , 我们可以仔细的存许沥这里可以选择永不过期 , 当然你也可以自己选挟交近时 , 再根据需求自行决定是启用新密钥远是将旧霸钥廷长相效期。

GnuPG needs to construct a uhser ID to identify Your key 。

Real name: RainShaw

Email addreSS: XXXX@LiVe .Com

Comment :

You Selected thiS USER-ID : “Rainshaw <XXXX@1iVe .COm>“

Change _(N)ame;, (C)omment, (B)mail or (0)kay/(Q)uit? o

输入你的个人信息 ,Comment 注释可以不填。

We need to generate a Lot of random bytes.。 It is a good idea to perform

some other action (type on the keyboard,move the mouse utilLize the

disks) during the prime generation; this gives the random numbeI

generator a better chance to gain enough entropy. We need to generate a Lot of random bytes.。 It is a good idea to perform

some other action (type on the keyboard,move the mouse utilLize the

disks) during the prime generation; this gives the random numbeI

generator a better chance to gain enough entropy 。

gpg: key 0xF2FE7008B02578B4 marked as uLtimately trusted

gpg: directory “/home/rainshaw/ .gnupg/openpgp-revocs .d「 created gpg: revocation certificate stored as

“/home/rainshaw/ .gnupg/openpgp-

revocs .d/B5C100450331878DD5535261F2FE7008B02578B4 .rev「

public and secret key created and 58igned。

pub rsa4096/F2FE7008B02578B4 2021-08-16 [C1

Key fingerprint = B5C1 0045 0331 878D D553 “5261 F2FEB 7008 B025 78B4 uiQd RainShaw 一 XXXX@ 1iVe .Com>

伟 H 建议使用从未使用过的且易记的密码 , 长度

[scode type=“blue“] 如果你之前使用过 GPG, 你可能有疑问 , 密码越长之后使用的时候不会很繁琐么 , 每次都要输入。不要担心 , 后面会教给大家怎么解决这个问题 , 方法是给子密钻设置与主蝈钥不间的密码 , 一方面方便日常使用 , 古一方面也是对主密钥的进一步保护。[/scode]

格式化密钥

如果你观察仔细的话 , 会发现我最终打印出来的密钥格式和你可能不太一吴人这只是格式化 , 下面教给大家如何格式化密钥输出 , 佶猴俸杨。

不论你用什么编辑器 , 只需在 -/ .gnupg/gpg.conf 文件中输入以下内容即可

keyid-format Long 如果你观察仔细的话 , 会发现我最终打印出来的密钼格式和你可能不太一吴这只是格式化 , 下面教给大家如何格式化密钥输出 , 佶猴俸杨。

不论你用什么编辑器 , 只需在 -/ .gnupg/gpg.conf 文件中输入以下内容即可

keyid-format Long with-fingerprint

这样之后输出密钥时就会自动打印密钥的长 ID 和指纹啦。创建子密钥

刚刚生成的主密钥名为 F2FE7008B0257884 , 它只有 [c1 用途 , 只能用来签发子密钻 , 为了满足日常使用我们需要新建三个子密钥 , 分别用来 Sign 签名、Encrypt 加密、Authenticate 认证。

Sign 签名密钥

使用 --expert 和 --edit-key F2FE7008B0257884 ( 将其中的密钥 id 换成你的 ) 。

This is free software: You are free to change and redistribute it。

There is NO NARRANTY,to the extent permitted by Law.。

Secret key is availablLe .

gpg: checking the trustdb

gpg: marginals needed: 3 _completes needed: 1 _trust model: pgpP gpg: depth: 0 “Valid: 1 “sSigqned: 0 “trusts _0-, 0q , 0n , 0m 使用 --expert 和 --edit-key F2FE7008B0257884 ( 将其中的密钥 id 换成你的 ) 。

This is free software: You are free to change and redistribute it。

There is NO NARRANTY,to the extent permitted by Law.。

Secret key is availablLe .

gpg: checking the trustdb gpg: marginals needed: 3 _completes needed: 1 _trust model: pgpP

gpg: depth: 0 Valid: 1 “signed: 0 “trusts: 0~-“ 0q, 0n, 0mv 0 王 , 1u sec “Isa4096/F2FB7008B02578B4 created: 2021-08-16 expires: never usage: C trust: uLtimate validity: ulLtimate

[uLtimate] (1) Rainshaw

gpg> addkey

PlLease select what kind of key You want : (3) DSA (sign on1y ) (4) RSA (sign on1y ) (5) BLgamal (encrypt on1y ) (6) RSA (encrypt on1y ) (7) DSA (set your own capabilities ) (8) RSA (set your own capabilities ) (10) ECC (sign on1y) (11) ECC (set your own Capabilities ) (12) ECC (encrypt on1y ) (13) Bxisting key (14) Bxisting key from carQd

Your Selection? 8

选 8 自定义用途。

Possible actions for a RSA key: 58ign Encrypt Authenticate

厂万万八仁一一月月一 5 一月二八一二一吴一尸干一口仪口八丨 r 丨 Possible actions for a RSA key: 58ign Encrypt Authenticate Current allowed actions: Sign EncrYPL

(58) Toggle the sign capability

(B) Toggle the encrypt capability

(A) Toggle the authenticate capability (0) Finished

Your Selection? e

Possible actions for a RSA key: 58ign Encrypt Authenticate Current allowed actions: Sign

(58) Toggle the sign capability

(B) Toggle the encrypt capability

(A) Toggle the authenticate capability (0) Finished

Your selection? d

RSR keys may be between 1024 and 4096 bits Long . What keysize do you want? (3072) 4096

Requested keysize is8 4096 bits

只保留 Sign 签名用途 , 并输入长度为 4096.

PlLease specify how Long the key shoulLd be valid。 0 = key does not expire = key expires in n days w = key expires in n weeks m = key expires in n months y = key expires in n Year8 Key is valid for? (0) 1Y Key expires at Tue 16 Aug 2022 02:52:10 AM PDT Is this correct2? (Y/N) Y Really create? (Y/N) Y

输入子宿钥有效期 , 建议不要选择永久有效 , 当子密钥临近过期或已过期骰 :> 我们可以使用主密钢对子密钥进进行延长有效期 , 这样可以进一步丙女王。保证安全。

[scode type=「“yellow「“] 当然这样之后会更加麻烦一些 , 比如你需要替换 GitHub 上的签名公钥等。[/scode]

We need to generate a Lot of random bytes.。 It is a good idea to perform

some other action (type on the keyboard,move the mouse utilLize the

disks) during the prime generation; this gives the random numbeI

generator a better chance to gain enough entropy 。

sec “Isa4096/F2FB7008B02578B4 created: 2021-08-16 expires: never usage: C trust: uLtimate validity: ulLtimate ssb “Isa4096/0B45187B21327343 created: 2021-08-16 “expires: 2022-08-16 “usage: 8 [uLtimate] (1) Rainshaw

gPpg> save 最后不要忘记使用 save 命令保存。此时再看一下现在的密钥 :

rainshaw8ubuntu:~$ gPg -K /home/rainshaw/ .gnupg/pubring .kKbx Sec rSa4096/F2FE7008B02578B4 2021-08-16 [C] Key fingerprint = B5C1 0045 0331 878D D553 “5261 F2FE 7008 B025 78B4 uid [ultimate] Rainshaw ssb rsa4096/0R45187BR21327343 2021-08-16 [S8] [expires: 2022- 08-~16 ]

Encrypt 加密宿钢同样使用 --expert 和 --edit-key F2FE7008B02578B4 ( 将其中的密钥 id 换成你的 ) 。

This is free software: You are free to change and redistribute it。

There is NO NARRANTY,to the extent permitted by Law.。

Secret key is availablLe .

gpg> addkey PlLease select what kind of key you want : (3) DSA (sign on1y ) (4) RSA (sign on1y ) (5) BLgamal (encrypt on1y ) (6) RSA (encrypt on1y ) (7) DSA (set your own capabilities ) (8) RSA (set your own capabilities ) (10) ECC (sign on1y) (11) ECC (set your own capabilities ) (12) ECC (encrypt on1y ) (13) Bxisting key (14) Bxisting key from carQd Your Selection? 12 PLease select which elliptic curve You want : (1) Curve 25519 (3) NIST P-256 (4) NIST P-384 (5) NIST P-521 (6) Brainpool1 P-256 (7) Brainpoo1 P-384 (8) Brainpoo1 P-512

ps d (1) Curve 25519 (3) NIST P-256 (4) NIST P-384 (5) NIST P-521 (6) Brainpool1 P-256 (7) Brainpoo1 P-384 (8) Brainpoo1 P-512 (9) secp256k1 Your Selection? 1 PlLease specify how Long the key shoulLd be valid。 0 = key does not expire = key expires in n days w = key expires in n weeks m = key expires in n months y = key expires in n Year5 Key is valid for? (0) 1Y Key expires at Tue 16 Aug 2022 03:06:34 AM PDT Is this correct2? (Y/N) Y Really create? (Y/N) Y We need to generate a Lot of random bytes.。 It is a good idea to perform some other action (type on the keyboard,move the mouse utilLize the disks) during the prime generation; this gives the random numbeI generator a better chance to gain enough entropy 。

gPpg> save

这里尝试使用 ECC 作为加密解密的算法 , 速度会更快一点。来源于博主 ulyc 的介绍 : [scode type=「“share“] 美国国家标准与技术研究院 (NIST) 系列椭圆曲线、Brainpool 系列榈圆曲线、secp256k1 都存在不同的安全风险 , 不建

议使用。

C 算河的 99 他在圭于 , 在同等强度下 ,ECC 的密钥长度要小的

不提密钥长度说安全性都是耍流氓 ,RSA 4096 的安全强度是要好于 ed25519 的。[/scodej]

Authenticate 认证宿钥

认证密钥用处不多 , 平时我们连 SSH 使用普通的 RSA 密钥就可以了 , 当然如果你愿意也可以用 GPG 生成的子密钥。同样使用 --cxmpest 利 - -edit-key F2FE7008B02578B4 ( 将其中的密钥 id 换成你的 ) 。

This is free software: You are free to change and redistribute it。

There is NO NARRANTY,to the extent permitted by Law.。

Secret key is availablLe .

gpg> addkey PlLease select what kind of key you want :

F Cottont 余 / RSR (sign on1Y)

ELgamal (encryPt on1Y)

RSR (encryPt on1Y)

DSR& (set Your own capabilities ) RSR (set Your own capabilities ) ECC (sign on1Y)

ECC (set your own capabilities ) ECC (encrypt on1Y)

Existing key

Existing key from card

Your Selection? 8

Possible actions for a RSA key: 58ign Encrypt Authenticate Current allowed actions: Sign EncrYPL

(5) ( 卫 ) () (0)

Toggle the sign capabilLity

Toggle the encrypt capabilLity Toggle the authenticate capabilLity Finished

Your Selection? a

Possible actions for a RSA key: 58ign Encrypt Authenticate Current allowed actions: 58ign Encrypt Authenticate

(5) ( 卫 ) () (0)

Toggle the sign capabilLity

Toggle the encrypt capabilLity Toggle the authenticate capabilLity Finished

Your Selection? 8

Possible actions for a RSA key: 58ign Encrypt Authenticate Current allowed actions: Encrypt Authenticate

(5) ( 卫 ) () (0)

Toggle the sign capabilLity

Toggle the encrypt capabilLity Toggle the authenticate capabilLity Finished

Your Selection? e 一人明子人一县 C 一人人明王东明仪伟子目人 CPC 一 CG Current allowed actions: Authenticate

(58) Toggle the sign capability

(B) Toggle the encrypt capability

(A) Toggle the authenticate capability (0) Finished

Your selection? d RSR keys may be between 1024 and 4096 bits Long . What keysize do you want? (3072) 4096 Requested keysize is8 4096 bits PlLease specify how Long the key shoulLd be valid。 0 = key does not expire

= _key expires in n days

w = key expires in n weeks

m = key expires in n months

y = key expires in n Year8 Key is valid for? (0) 1Y Key expires at Tue 16 Aug 2022 03:12:10 AM PDT Is this correct2? (Y/N) Y Really create? (Y/N) Y We need to generate a Lot of random bytes.。 It is a good idea to perform some other action (type on the keyboard,move the mouse utilLize the disks) during the prime generation; this gives the random numbeI generator a better chance to gain enough entropy 。

sec “Isa4096/F2FB7008B02578B4

created: 2021-08-16 expires: never usage: C

trust: uLtimate validity: ulLtimate ssb “Isa4096/0B45187B21327343

created: 2021-08-16 “expires: 2022-08-16 “usage: 8 Ssb “_cV25519/7A3B9781DAD1C286

created: 2021-08-16 “expires: 2022-08-16 “usage: 卫 ssb Sa4096/4FFFC7DRA1ABB8BB5

created: 2021-08-16 “expires: 2022-08-16 “usage: R [uLtimate] (1) Rainshaw

qpq>“SaVe J 标 I 一人 IJ 异 , 八 f 2o 导出密钢

复习下我们的核心思想 , 主密钥必须存储在安全的地方或被加密 , 1 钥用来日常使用。为了安全 , 我们将不会存储主密钥的明文 , 虽然这明文也被我们之前设置的密码保护着 , 侄为了财加安全 , 我们再套一层一有点晦铭子撑的 )-。

刚才我们已经生成了加密蜜钥 , 所以只要加密密钻被保护好 , 我们就可以使用加密密钥给主密钥套一层

导出公钢

一种是导出所有的公钥 , 常用于公开到特定服务器。

rainshawe&ubuntu:~/Desktop$ gpg -ao PK.key --export F2FE7008B02578B4 rainshaw&ubuntu:~/Desktop$ cat PK.key

mQINBGEaMF8BEADD1NPg6UCRKEjDnVjYVMWzz26YTRWXmgux58hcFp3u+UE/o3Ji eJiNtAGMXYWrvL1f/KhpUxQHKm2+C30JhlVhk3Tu9POXDQb10BfBNtHIj3+Ei+3k

中间很长很长

XGYyiVo7R4BCiGHekJk8+jqqulYcRW1LimHGgyBhYDyvOg88qovp5+fBRpPZNA39RSm4 BOBkecuPQJ7tcdXz1l1a++eECgUBVdmyPT4YVR9 jEJRJSPNCVXSqw5G =VhBK

[scode type=“yello“] 注意这个公钥仅用于示例 , 请不要将这个公钥和博主关联起来 (@「“「@)[/scode]

第二种是导出某个子密钥的公钥 , 常用于当有多个同一用途的密钥时指定密 $ 莲不 Rom

rainshaw&ubuntu:~/Desktop$ gpg -a --export --outPut PK.key F2FE7008B02578B4

FiLle“pk.key「“ exists。 0verwrite? (Y/N) Y rainshaweubuntu:~/Desktop$ gpg -a --export --outPut PK.key F2FE7008B02578B4 !

FiLle “pk.key「“ existS。 0verwrite2? (Y/N) 史

Enter new filLename: PKk2 .key

rainshaw&ubuntu:~/Desktop$ gpg -a --export --outPut Pk-sign .key 0B45187B21327343!

rainshawe&ubuntu:~/Desktop$ gpg -a --export --outpPut Pk-enc .key 7R3B9781DAD1C286!

rainshawe&ubuntu:~/Desktop$ gpg -a --export --outpPut Pk-auth.key 4FFFC7DR1ABB8BE5 !

导出主密钥私钥

使用子加密密钥加密主密钻 , 注意将下面命令的 Rainshaw 改为你之前设置的名字 , 如果含有空格的话需要在两端加引号。

rainshaweubuntu:~/Desktop$ gpg -a --export-secret-key F2FE7008B02578B84 | gpg -e -r Rainshaw | add of=sk.key 17+2 recordS in

17+1 KecordSs out

9095 bytes (9.1 kKB,8.9 KiB) copied,5.82587 s8,1.6 kB/s

[scode type=「“green“] 你可以分步执行 , 看看每步到底做了什么。 [/scode]

导出子密钥私钥

使用子加密密钥加密 Sign 和 Authenticate 密钥 , 注意将下面命令的 Rainshaw 改为你之前设置的名字 , 如果含有空格的话需要在两端加引号。同时一定要注意密钥 ID 一定要改 , 且感叹号 ( 英文 ) 不能省略 !

rainshawe&ubuntu:~/Desktop$ gpg -a --export-secret-sSubkeys RAET 77 1 232777212 1 ] “ 二口二一尺 nah a ] 月月 ~F 二 ai n t 使用子加密密钥加密 Sign 和 Authenticate 密钢 ; 注意将下面命令的 Rainshaw 改为你之前设置的名字 , 如果含有空格的话需要在两端加引号。同时一定要注意密钥 ID 一定要改 , 且感叹号 ( 英文 ) 不能省略 !

rainshawe&ubuntu:~/Desktop$ gpg -a --export-secret-sSubkeys 0R45187BR21327343! | gpg -e -r Rainshaw | dqd of=sign.key 8+2 records in

8+1 records out

4508 bytes (4.5 kKB,4.4 KiB) copied,5.10913 s,0.9 kB/s rainshaw&ubuntu:~/Desktop$ gpg -a --export-secret-sSubkeys 4FFFC7DA1ABB8BB5! | gpg -e -r Rainshaw | dd of=auth.key 7+2 records in

7+1 records out

3935 bytes (3.9 KB,3.8 KiB) copied,5.79333 8「, 0 .7 KB/s

对于加密子密钥就不能再用加密子密钥加密了 ( 禁止套娃 ) 。对于上面 o 我们可以随意上传、复制 , 只要我们保证自己的加密

子密钥是安全的卸可。现在问题来了 , 怎么存储加密子密钥呢 ?
这里我也没有什么特别好的方法 , 我采用的是使用 DES 对称加密对 GPCG: 密钥加密一好绕白 s s 一 , 这样能保证子密钥比不加密安全一

rainshawe&ubuntu:~/Desktop$ gpg -a --export-secret-sSubkeys 7R3B9781DAD1C2861! | openss1 des3 -salt | dqd of=enc .key enter des-ede3-cbc encryption password :

Verifying - enter des-ede3-cbc encryption password :

x#x WRRNING : _ deprecated key derivation used .

Using -iter of -Pbkdf2 woulLd be betteI .

5+1 records in

5+1 _ records out

2640 bytes (2.6 kKB,2.6 KiB) copied,18.5623 s,0.1 kB/s

过程中会先让你输入 GPG 的密码 , 然后再输入一个对称加密的密码 , 建议这两个采用不同的值 ( 由于前者就是主密钥的密码 , 很复杂 , 所以我们可以对其稍作改动作为后者 , 比如更换其中的数字、符号 , 或者将寒砺顺序颜倒之类的、) 我们可以对其积作改动作加后者 , 比如更换其中的数子、行号 , 或者将密码顺序颠倒之类的。)

导出吊销证书

gpg: key 0xF2FE7008B02578B4 marked as uLtimately trusted

gpg: directory “/home/rainshaw/ .gnupg/openpgp-revocs.d「 created gpg: revocation certificate stored as

“/home/rainshaw/ .gnupg/openpgp-

revocs .d/B5C100450331878DD5535261F2FE7008B02578B4 .rev「 public and secret key created and 58igned。

pub rsa4096/F2FE7008B02578B4 2021-08-16 [C1

Key fingerprint = B5C1 0045 0331 878D D553 “5261 F2FEB 7008 B025 78B4 uiQd RainShaw 一 XXXX@ 1iVe .Com>

在创建主密钥的同时 ,GPG 为我们生成了一个主密钥的吊销证书 , 位于 .gnupg/openpgp-revocs . 生尿录上。我们需要对其更加精心备份和保护 , 为仰么呢 , 因为如果你主密钥没丢 , 而这个吊销证书丢了 , 那你的主密钥就可肉 $ 被攻击者吊销 , 这样一来 , 俨寺主密钥的精心保护还有啶用呢这里偷个懒 , 使用的是之前生成的加密蛰钥。

rainshaw&ubuntu:~/Desktops cat ~/.gnupg/openpgp- revocs.d/B5C100450331878DD5535261F2FE7008B02578B4.rev | gpg -e - Rainshaw | dd of=rev .key

2+2 records in

2+1 ecords _out

1376 bytes (1.4 kKB,1.3 KiB) copied,0.00671809 s,205 kB/s

如果佣追求更安全 , 那我建议你再生成一个 Encrypt 加密蜜钥 , 不导出它 , 只用它来加密这个吊销证书 , 讷样口有在你的主密钥泄露之后 , 尘有可能泄露这个吊销证书 , 而这旷我们肯定是要吊销的 , 所以安全箱很高。由于此时你的库中有两个加密密钥 , 导致在进行加密时会自动选择加密密钻 ( 一般会用较新的 ) , 此时为了拱定加密密钥 , 我们需要采用与上文不同的命令。 C 5 有可能泄露这个吊销证书 , 而这旷我们肥定是

高。 C 标李训加密宿钥 ( 一般会用较新的 ) , 此时为了指定

与上文不同的命令。

rainshaw&ubuntu:~/Desktop$ gPg -K /home/rainshaw/ .gnupg/pubring .kKbx sec rSa4096/F2FE7008B02578B4 2021-08-16 [C Key fingerprint = B5C1 0045 0331 878D D553 “5261 F2FE 7008 B025 78B4 uid [uLtimate] Rainshaw SSbD rSa4096/0E45187E21327343 2021-08-16 [S] [expires: 2022- 08-16 ] SSbD cV25519/7A3B9781DAD1C286 2021-08-16 [E] [expires: 2022- 08-16 ] SSbD rSa4096/4FFFC7DRA1RBE8BE5 2021-08-16 [&] [expires: 2022- 08-16 ] SSbD cV25519/82A36E1B874BE22B 2021-08-16 [E] [expires: 2022- 08-16 ]

rainshaw8ubuntu:~/Desktop$ gpg -a --export --output Pk-enc2 .key 82R36B1B874BE22B!

rainshaweubuntu:~/Desktop$ cat -~/ .gnupg/openpgp-

revocs .Q/B5C100450331878DD5535261F2FE7008B02578B4.rev | gpg -e -f pk-enc2.key | dd of=rev .key

2+2 records in

2+1 records out

1379 bytes (1.4 kKB,1.3 KiB) copied,0.00649605 s,212 kB/s

[scode type=“red“] 如果你刚刚生成了一个新的加密子密钥 , 记得重新导出主密钻 ! [/scode]

rainshaweubuntu:~/Desktop$ gpg -a --export-secret-key F2FE7008B02578B4 | gpg -e -f pk-enc.key | dd of=sk2 .key 18+3 records in

19+1 KecordSs out

9774 bytes (9.8 kKB,9.5 KiB) copied,6.38228 s8,1.5 kB/s 胡 l 的 ddtdt

rainshaweubuntu:~/Desktop$ gpg -a --export-secret-key F2FE7008B02578B4 | gpg -e -f pk-enc.key | dd of=sk2 .key 18+3 records in

19+1 KecordSs out

9774 bytes (9.8 kKB,9.5 KiB) copied,6.38228 s8,1.5 kB/s

[scode type=「“yellow“] 注意这里使用的是第一个加密密钥 ! [/scodej] 传输文件

好 , 到目前为止 , 我们生成了几个非常安全的文似 , 他们可以随意分发上传 _( 但建议还是不要随意分发 ) , 之后每次使用时只需将所需的私钥文件下载然后解密安装即可。

此时如果你使用虚拟机启动 Tails OS 作为生成密钥的系统 , 那你可能会发现好像无法把子蜜钥从虚拟机中复制出来 , 这就很蛋疼了 , 我的解决方法是在客户端电脑上开设一个 SSH Server, 在 Tails 中使用 SCP 命令将文件传输出来 , 具体命令大家可以自行百度。如果你使用的是非虚拟机运行的 Tails OS, 那你可以插入一个新的 U 盘存储这些文件。如果你是其他的情况 , 请自行解决。

销毁原文件当你把上述文件成功传输出来之后 , 根据不同的情况 , 你可能需要销毁原始的蜜钥文件。如果是虚拟机 , 那你可以直接删除虚拟机即可 , 如果

是 Tails 可以使用鼠标右键点击 .gnupg 文件夹然后选择 wipe 即可 , 如果是其他情况 , 请自行搜索擦除文件的方法。

导入密钢导入密钥是十分简单的 , 首先对加密密钥进行解密 , 然后导入

rainshawubuntts~/pesktonS“_ppenss1“_des3 -d -in“_ena key | apa 一一导入密钥是十分简单的 , 首先对加密密钥进行解密 , 然后导入

rainshaweubuntu:~/Desktops openss1 des3 -d -in enc.key | gpg -- import

enter des-ede3-cbc decryption password :

x#x WRRNING : _ deprecated key derivation used .

Using -iter of -Pbkdf2 woulLd be betteI .

gpg: key F2FE7008B02578B4: public key “Rainshaw “ imported

gpg: To migrate“secring.gpg「 ,with each smartcard,Irun: gPg -- card-status

gpg: key F2FE7008B02578B4: secret key imported

gpg: Total number processed: 1

gpPg: imported: 1 gpPg: secret keys read: 1 gpPg: secret keys imported: 1

刑

然后利用这个加密密钥对你在某个机器上所要使用的子密钥进行解密然后导入

如要导入签名密钥 :

rainshaweubuntu:~/Desktops gpg -d sign.key | gpg --import gpg: encrypted with 256-bit ECDH key,ID 7A3B9781DAD1C286 , created 2021-08-16

“Rainshaw <XXX@1iVe .com>“ gpg: key F2FE7008B02578B4: “Rainshaw “ 1 new signature gpg: key F2FE7008B02578B4: “Rainshaw “ 1 new subkey gpg: To migrate“secring.gpg「 ,with each smartcard,Irun: gPg -- card-status gpg: key F2FE7008B02578B4: secret key imported gpg: Total number processed: 1

gpPg: new subkeys: 1 gpPg: new signatures: 1 gpPg: secret keys read: 1 gpPg: secret keys imported: 1 Cc 朋沥一认 t t 余园国阮一认朋 cd gpg: encrypted with 256-bit ECDH key 「 ID 7A3B9781DAD1C286 , created 2021-08-16

gpPg: new subkeys: 1 gpPg: new signatures: 1 gpPg: secret keys read: 1 gpPg: secret keys imported: 1 如要导入认证密钥 :

rainshaweubuntu:~/Desktops gpg -d auth.key | gpg --import gpg: encrypted with 256-bit ECDH key,ID 7A3B9781DAD1C286 , created 2021-08-16

gpPg: new subkeys: 1 gpPg: new signatures: 1 gpPg: secret keys read: 1 gpPg: secret keys imported: 1

修改信任级别

炀示我们导入的证书并不是生成的 , 所以其信任级别为未知 , 需要修改由于我们导入的证书并不是生成的 , 所以其信任级别为未知 , 需要修改信任级别

This is free software: You are free to change and redistribute it。

There is NO NARRANTY,to the extent permitted by Law.。

Secret subkeys are availablLe .

pub rsa4096/F2FE7008B02578B4

created: 2021-08-16 expires: never usage: C

trust: unknown validity: unknown Ssb “_cV25519/7A3B9781DAD1C286

created: 2021-08-16 “expires: 2022-08-16 “usage: 卫 ssb “Isa4096/0B45187B21327343

created: 2021-08-16 “expires: 2022-08-16 “usage: 8 ssb Sa4096/4FFFC7DRA1ABB8BB5

created: 2021-08-16 “expires: 2022-08-16 “usage: R [ unknown] (1) . Rainshaw

gPg> trust

pub rsa4096/F2FE7008B02578B4 created: 2021-08-16 expires: never usage: C trust: unknown validity: _ unknown

Ssb “_cV25519/7A3B9781DAD1C286

created: 2021-08-16 “expires: 2022-08-16 “usage: 卫 ssb “Isa4096/0B45187B21327343

created: 2021-08-16 “expires: 2022-08-16 “usage: 8 ssb Sa4096/4FFFC7DRA1ABB8BB5

created: 2021-08-16 “expires: 2022-08-16 “usage: R [ unknown] (1) . Rainshaw

PlLease decide how far you trust this user to correctL1y verify other users「 key8

(by Looking at passports「,checking fingerprints from different sources「 etc . ) Cssooioiiuoosudyiioaigy ia xici vol

other users「 key8

(by Looking at passports「,checking fingerprints from different

sources「 etc . )

= I don 「七 know or won L 5ay I do NOT trust I trust marginal1y

= 工 trust fuL1Y 工 D

= I trust uLtimatel1Y ack to the main menu

日 u 心 w N 厂

Your decision? 5 Do you really want to set this key to uLtimate trust? (Y/N) Y

pub rsa4096/F2FE7008B02578B4 created: 2021-08-16 expires: never usage: C trust: uLtimate validity: unknown Ssb “_cV25519/7A3B9781DAD1C286 created: 2021-08-16 “expires: 2022-08-16 “usage: 卫 ssb “Isa4096/0B45187B21327343 created: 2021-08-16 “expires: 2022-08-16 “usage: 8 ssb sa4096/4FFFC7DRA1ABB8BB5 created: 2021-08-16 “expires: 2022-08-16 “usage: R [ unknown] (1) . Rainshaw PlLease note that the shown key validity is not neces5ari1Y correct unless You restart the Program。

gPg> quit rainshaw&ubuntu:~/Desktop$ gPg -K gpg: checking the trustdb gpg: marginals needed: 3 completes needed: 1 _trust model: pgpP gpg: depth: 0 Valid: 1 “signed: 0 “trusts: 0~-“ 0q, 0n, 0mv 0 王 , 1u /home/rainshaw/ .gnupg/pubring .kKbx sec 汀 sa4096/F2FB7008B02578B4 2021-08-16 [C] Key fingerprint = B5C1 0045 0331 878D D553 “5261 F2FE 7008 B025 78B4 uid [uLtimate] Rainshaw SSbD cVv25519/7A3B9781DAD1C286_2021-08-16_1E1 “「expires: 2022- cdothicciiiilidddistdiotinidioiniigdotiniA H Key fingerprint = B5C1 0045 0331 878D D553 “5261 F2FE

7008 B025 78B4

uid [ulLtimate] Rainshaw <XXX6@1iVe . COm>

ssb cv25519/7A3B9781DAD1C286 2021-08-16 [B] [expires: 2022-

08-16 ]

ssb rsa4096/0R45187BR21327343 2021-08-16 [S8] [expires: 2022-

08-16 ]

ssb rsa4096/4FFFC7DA1ABE8BE5 2021-08-16 [A] [expires: 2022-

08-16 ]

修改密码

上面提到过 , 我们在生成主密钥时使用了一个非常非常不常用、非常非常复杂的密码 , 在上面的操作中 , 我们几乎每个操作都要输入至少一次

这个密码 , 很不方便。这里教给大家如何修改子密钥的密码。

如果你搜索 gpg subkey change passphrase 这些关键词的话 , 你会看到很多帖子说 GPG 无法实现这种需求 , 但在我实际操作后发现 , 里然给子密钥修改密码会提示错误 , 但实际密码是修改成功了的。

首先我们在机器上导入需要的子密钥 , 如上面操作就可 , 注意一定不要导入主密钻 ! !

然后我们直接修改密码 :

This is free software: You are free to change and redistribute it。

There is NO NARRANTY,to the extent permitted by Law.。

Secret subkeys are availablLe .

pub rsa4096/F2FE7008B02578B4 created: 2021-08-16 expires: never usage: C trust: uLtimate validity: ulLtimate rainshaw&ubuntu:~/Desktop$ gpg --expert --edit-key Rainshaw gPg (GnuPG) 2.2.19; Copyright (C) 2019 Free Software Foundation, Inc .

This is free software: You are free to change and redistribute it。

There is NO NARRANTY,to the extent permitted by Law.。

Secret subkeys are availablLe .

pub rsa4096/F2FE7008B02578B4

created: 2021-08-16 expires: never usage: C

trust: uLtimate validity: ulLtimate Ssb “_cV25519/7A3B9781DAD1C286

created: 2021-08-16 “expires: 2022-08-16 “usage: 卫 ssb “Isa4096/0B45187B21327343

created: 2021-08-16 “expires: 2022-08-16 “usage: 8 ssb Sa4096/4FFFC7DRA1ABB8BB5

created: 2021-08-16 “expires: 2022-08-16 “usage: R [uLtimate] (1) 。 Rainshaw

gpg> passwad gpg: key F2FE7008B02578B4/F2FE7008B02578B4: error changing passphrase: No Secret key

gPpg> save Key not changed so no update needed。

注意到我们完成修改密码操作后虹然提示我们 exror changing passphrase, 但你可以测试一下 , 密码是修改成功了的 !

导入主密钥 [scode type=“yello“] 一定不要跳着看 ! ! 否则功亏一筑 ! ! [/scode]

当你完成上面的步骤后 , 此时如果机器是你信任的或者有 TPM 芯片或智能卡设备的话 , 你可以选择导入主密钢 :

rainshaweubuntu:~/Desktops gpg -Q sk2 .key | gpg --import [scode type=“yello“] 一定不要跳着看 ! ! 否则功亏一筑 ! ! [/scode]

当你完成上面的步骤后 : 正时如果机器是你信任的或者有 TPM 芯片或智能卡设备的话 , 你可以选择导入主密钥 :

rainshaweubuntu:~/Desktops gpg -Q sk2 .key | gpg --import gpg: encrypted with 256-bit ECDH key,ID 7A3B9781DAD1C286 , created 2021-08-16

“Rainshaw <XXX@1iVe .com>“ gpg: key F2FE7008B02578B4: “Rainshaw “ 1 new signature gpg: key F2FE7008B02578B4: “Rainshaw “ 1 new subkey gpg: key F2FE7008B02578B4: secret key imported gpg: Total number processed: 1

gpPg: new subkeys: 1 gpPg: new signatures: 1 gpPg: secret keys read: 1 gpPg: secret keys imported: 1 gpg: “secret keys unchanged: 1

此时你皋 $ 钢的密码和子密钥的密码是不同的 , 我们能够很好的保护主密钥的同时 , 减少我们日常使用时的麻烦。

如果有 TPM 芯片可以在 --edit-key 时 , 使用 keytotpm 命令 , 将密钢转移到 TPM 芯片上 , 博主未尝试 , 请自行测试。如果有智能卡设备如 YubiKey , 则可以使用 keytocard 命令。

常见问题与解答是香应该上传自己的公钥到公钥服务器上 ? 根据博主 uiyc 的储客 , 不推荐将公钥上传到公钥服务器上 , 除非你真的需要。该博主的博客里列举了公钢服务器的诺多问意 , 如滥用、投毒 “ 签名 Dos、熬破、隐私问题。

知何公布自品鸥公钥 ? 我们应该多逐径、分散的公开自己的公钥 , 并在信任公钥时先确
是否应该上传自己的公钥到公钥服务器上 ? 根据博主 ulyc 的博客 , 不推荐将公钥上传到公钥服务器上 , 除非你真的需要。该博主的博客里列举了公钥服务器的诸多问题 , 如滥用、投毒、签名 Dos、爆破、隐私问题。
如何公布自己的公钥 ? 我们应该多途径、分散的公开自己的公钥 , 并在信任公钥时先确 _ 认指纹是否正确。你可以将公钥发布到 GitHub、个人博客、社交软件、公开论坛中。

补充使用 PGP 为 git commit 签名打开终端 , 运行

$ gpg -K --keyid-format=Long /Users/hubot/ .gnupg/secring.gpg

SeC 4096R/3RRA5C34371567BD2 2016-03-10 [C] uiQd Hubot SSD 4096R/42B317FD4BR89B7A 2016-03-~10 【[8 ]

找到你要用的 GPG 密钥 ID, 木园沥砂助

42B317FD4BA89E7A。然后设置

$ git config --gLlobal user .signingkey 42B317FD4BR897 $ git config --gLobal commit .gpgsign true

第一行是告诉 Git 用哪个密钥进行签名 , 第二行是告诉 Git 每次 commit 的时候眼动签名 , 如果不加第二行 , 在每次 commit 时需要增加 -s 参云盅白。

[scode type=「“green“] 不要忘了把公钥上传到 GitHub 。 [/scodej]

J-L r 一一一 A 山 / 一一一儿数才会签名。 [scode type=「“green“] 不要忘了把公钥上传到 GitHub 。 [/scode] 使用 PGP 进行 SSH

[scode type=「“blue「“] 关于服务端如何启用密钥登陆 , 请自行查找教程 , 这里只介绍如何配置本地电脑。 [/scode]

Win10

CMD

[post url=r“https://labjinkan.org/2021/08/01/using-gpg-for-ssh- authentication-on-windows-10/“ title=“ 在 Windows 10 上用 GPG 完成

SSH 认证 “ cover=“https://labjinkan.org/wp-content/themes/kagami- master/assets/images/fallback_coverjpg“ 厂

Git Bash

[scode type=「“blue「“] 网上教程很多 , 我配置了好几次都没成功 , 最后按照下面这个步骤成功了 , 有很多注意事项。 [/scodej]

[scode type=「“yellow「“] 这个教程说不要用 CRLF 要用 LF, 在 Win10 上你可以用 vscode 来设置换行符 , 设置的地方在 vscode 的右下角。 [/scode]

首先 , 新建文件 -/ .gnupg/gpg.conf 内容如下 , 最后不要换行 :

$ cat ~/.gnupg/gpg.conf use-agent

的 -~/.gnupg/gpg-agent.conf 文件 , 内容如下 , 同样最后不要行 : E

$ cat ~/.gnupg/gpg-agent .conf enable-ssh-support

然后创建 -/ .gqnupg/sshcontrol 文件 , 内容如下 , 不要换行

$ gpg -K --with-keygrip SeC zSa2048 2019-03-21 [C] [expires: 2021-03-20 ] 96F33EBA7F4B0F7051D75FC208715AF32191DB135 Keygrip = 90BE08830BC1AAD225BE657AD4FBEBE638B3D8B50C9B uid [uLtimate] Brian BxelbierQd SSbD zSa2048 2019-03-21 [B] [expires: 2021-03-20 ] Keygrip = 5FA04ARBEBFBC5089B50EDEB43198B4895BCA2136 SSbD Sa2048 2019-~03-21 [R] Keygrip = _ 7710BA0643CC022B92544181FF2EAC2A290CDC0OBH $ cat ~/.gnupg/sshcontrol 7710BA0643CC022B92544181FF2BRAC2R290CDC0B

然后修改终端配置文件 :

$ cat .bashrCc

export GPG _TTY=$(ttY) export 8SH_AUTH_S0CK=$(gpgconf --List-dirs agent-sSsh-socket ) echo UPDATESTARTUPTTY | gpg-connect-agent 1> /dev/nul1l

重启终端。

然后重启 gpg-agent, 注意每次修改配置后 , 都要执行这一步 ( 不过一般这种东西配置一次也就够了 ) 。

$ gpg-connect-agent kil1lagent /bye OK _ closing connection

$ gpg-connect-agent /bye

gpg-connect-agent: no running gpg-agent - starting “C: \Program FilLes“(x86) \Gpg4winv . . \GnuPG\binvgpg-agent .exe「 gpg-connect-aqent: waitinq for the aqent _ to come up . . 。 (58 ) $ gpg-connect-agent kil1lagent /bye OK _ closing connection

$ gpg-connect-agent /bye gpg-connect-agent: no running gpg-agent - starting “C: \Program FiLes (x86) \Gpg4winv . . \GnuPG\binvgpg-agent .exe「

gpg-connect-agent: waiting for the agent to come HP .. 。 (58) gpg-connect-agent: connection to agent established

然后检查你的配置是否成功 :

$ SSh-add -L 江这里会打印出你的公钢

如果打印出你的公钥 , 如果没有输出说明还没有配置好 , 如你确定是按照本教程一步步做的 , 那可能本教程已过时 , 请再搜寻。

将公钥传递到服务器端便可使用 GPG 认证密钥进行 SSH 登陆了 ! Linux( 以 Ubuntu 为例 )

F 然后启用 gpg-agent 接替 ssh-agent 处理 SSH 侥水 .

cat enable-ssh-support >> ~/ .gnupg/gpg-agent .conf

然后指定我们要使用的密钥 :

$ gpg -K --with-keygrip SeC zSa2048 2019-03-21 [C] [expires: 2021-03-20 ] 96F33EBA7F4B0F7051D75FC208715AF32191DB135 Keygrip = 90BE08830BC1AAD225BE657AD4FBEBE638B3D8B50C9B uid [uLtimate] Brian Bxelbierd SSbD zSa2048 2019-03-21 [B] [expires: 2021-03-20 ] Keygrip = 5FA04ARBEBFBC5089B50EDEB43198B4895BCA2136 SSbD Sa2048 2019-~03-21 [R] 卯扬 NOIRIAA 伟厂弓日 grag pe 芒 bone 兄 58 请求 :

cat enable-ssh-support >> ~/ .gnupg/gpg-agent .conf

然后指定我们要使用的密钥 :

$ gpg -K --with-keygrip SeC zSa2048 2019-03-21 [C] [expires: 2021-03-20 ] 96F33EBA7F4B0F7051D75FC208715AF32191DB135 Keygrip = 90BE08830BC1AAD225BE657AD4FBEBE638B3D8B50C9B uid [uLtimate] Brian Bxelbierd SSbD zSa2048 2019-03-21 _[B] [expires: 2021-03-20 ] Keygrip = 5FA04ARBEBFBC5089B50EDEB43198B4895BCA2136 SSbD Sa2048 2019-~03-21 [R] Keygrip = _ 7710BA0643CC022B92544181FF2EAC2A290CDC0OBH

$ echo 7710BA0643CC022B92544181FF2BRC2R290CDC0B >> ~/.gnupg/sshcontrol

注意替换上面的 7710BA0643cC022B92544181FF2EAC2A290cpCc0E 为你

所要用的。然后我们修改默认的 SSH 工具 :

$ cat ~/ .bashrc

export 8SH_AUTH_S0CK=$(gpgconf --List-dirs agent-ssh-socket ) gpgconf --Launch gpg-agent

人育这两行加入到你的终端配置文件中 , 接下来你需要重启终端才能生交

此时你可以检查你的配置是否正确 :

$ SSh-add -L 江这里会打印出你的公钢

人怀上厂 Ja 一 T A m ul ZC 一 JL r 一足一 v 人 J / 一一一门 Dv nu Keygrip = 7710BA0643CC022B92544181FF2EAC2A290CDC0OE

$ echo 7710BA0643CC022B92544181FF2BRC2R290CDC0B >> ~/.gnupg/sshcontrol

注意替换上面的 7710BA0643cC022B92544181FF2EAC2A290cpCc0E 为你

所要用的。然后我们修改默认的 SSH 工具 :

$ cat ~/ .bashrc

export 8SH_AUTH_S0CK=$(gpgconf --List-dirs agent-ssh-socket ) gpgconf --Launch gpg-agent

1 这两行加入到你的终端配置文件中 , 接下来你需要重启终端才能生效。此时你可以检查你的配置是否正确 :

$ SSh-add -L 江这里会打印出你的公钢

将公钥传递到服务器端便可使用 GPG 认证密钥进行 SSH 登陆了 ! 清理 PGP 密码缓存

Linux:

$ gpgconf --kil11 gpg-agent

Windows:

$ echo “RELOADAGENT“ | gpg-connect-agent

Category: IMG