Generování klíčů OpenPGP v zařízení#

(Nitrokey 3 - Windows)

The following instructions explain the generation of OpenPGP keys directly on the Nitrokey. This is done by using the command line interface of GnuPG. Thus, you need to have GnuPG installed on your system. The newest GnuPG version for Windows can be found here and the newest version for MacOS can be found here. Users of Linux systems please install GnuPG with help of the package manager.

Poznámka

Tyto pokyny jsou založeny na GnuPG verze 2.2.6 nebo vyšší. Některé linuxové distribuce mají nainstalovanou starší verzi. V takovém případě zvolte jinou metodu, jak je uvedeno zde, nebo si nainstalujte novější verzi, pokud je to možné.

Generování klíčů#

Následující popisy vysvětlují základní generování klíčů v zařízení prostřednictvím rozhraní příkazového řádku GnuPG. Výchozí chování je generování klíčů RSA o velikosti 2048 bitů. Pokud chcete změnit algoritmus a délku klíče, podívejte se nejprve do další části.

Otevřete příkazový řádek a zadejte gpg2 --card-edit.

Příkazový řádek systému Windows otevřete stisknutím klávesy Windows a klávesy R. Nyní do textového pole napište „cmd.exe“ a stiskněte klávesu enter. Chcete-li otevřít terminál v systému MacOS nebo GNU/Linux, použijte vyhledávání aplikací (např. Spotlight v systému MacOS).

> gpg2 --card-edit

Reader ...........: 20A0:4108:0000320E0000000000000000:0
Application ID ...: D27600012401020100050000320E0000
Version ..........: 2.1
Manufacturer .....: ZeitControl
Serial number ....: 0000320E
Name of cardholder: [not set]
Language prefs ...: de
Sex ..............: unspecified
URL of public key : [not set]
Login data .......: [not set]
Signature PIN ....: forced
Key attributes ...: rsa2048 rsa2048 rsa2048
Max. PIN lengths .: 32 32 32
PIN retry counter : 3 0 3
Signature counter : 0
Signature key ....: [none]
Encryption key....: [none]
Authentication key: [none]
General key info..: [none]

gpg/card>

Nyní se nacházíte v interaktivním rozhraní GnuPG. Aktivujte příkazy správce pomocí admin a poté pomocí generate spusťte generování klíčů.

gpg/card> admin
Admin commands are allowed

gpg/card> generate
Make off-card backup of encryption key? (Y/n) n

Please note that the factory settings of the PINs are
   PIN = '123456'     Admin PIN = '12345678'
You should change them using the command --change-pin

Please specify how long the key should be valid.
         0 = key does not expire
      <n>  = key expires in n days
      <n>w = key expires in n weeks
      <n>m = key expires in n months
      <n>y = key expires in n years
Key is valid for? (0)
Key does not expire at all
Is this correct? (y/N) y

GnuPG needs to construct a user ID to identify your key.

Real name: Jane Doe
Email address: jane@example.com
Comment:
You selected this USER-ID:
"Jane Doe <jane@doecom>"

Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? O
gpg: key 817E149CA002B92F marked as ultimately trusted
gpg: revocation certificate stored as '/home/nitrokey//.gnupg/openpgp-revocs.d/E62F445E8BB4B5085C031F5381
7E149CA002B92F.rev'
public and secret key created and signed.


gpg/card>
</jane@doe.com></n></n></n></n>

Navrženou zálohu mimo kartu nevytvářejte. Tato „záloha“ ukládá pouze šifrovací klíč, ale ne podpisový a ověřovací klíč. V případě ztráty zařízení nebude možné obnovit celou sadu klíčů. Jednak tedy nejde o žádnou úplnou zálohu (pokud ji potřebujete, použijte místo ní tento návod) a jednak riskujete, že se k vašemu šifrovacímu klíči může dostat někdo jiný. Výhodou generování klíčů v zařízení je zajištění bezpečného uložení klíčů. Proto doporučujeme tuto poloviční zálohu vynechat.

Nyní máte v zařízení kompletní sadu klíčů, kterou můžete použít pro různé aplikace uvedené na našich stránkách. Zadejte quit a stiskněte enter pro ukončení.

Změna klíčových atributů#

Tato část se zabývá změnou klíčových atributů. Pokud chcete použít výchozí hodnoty, můžete pokračovat další částí.

Otevřete příkazový řádek a zadejte gpg2 --card-edit --expert.

> gpg2 --card-edit --expert

Reader ...........: 20A0:4108:0000320E0000000000000000:0
Application ID ...: D27600012401020100050000320E0000
Version ..........: 2.1
Manufacturer .....: ZeitControl
Serial number ....: 0000320E
Name of cardholder: [not set]
Language prefs ...: de
Sex ..............: unspecified
URL of public key : [not set]
Login data .......: [not set]
Signature PIN ....: forced
Key attributes ...: rsa2048 rsa2048 rsa2048
Max. PIN lengths .: 32 32 32
PIN retry counter : 3 0 3
Signature counter : 0
Signature key ....: [none]
Encryption key....: [none]
Authentication key: [none]
General key info..: [none]

Nyní se nacházíte v interaktivním rozhraní GnuPG. Jak vidíte v poli „Key attributes“ výše, je nastavena výchozí hodnota rsa2048. Chcete-li je změnit, aktivujte příkazy pro správu pomocí admin a poté použijte key-attr pro změnu atributů klíčů.

gpg/card> admin
Admin commands are allowed

gpg/card> key-attr
Changing card key attribute for: Signature key
Please select what kind of key you want:
&nbsp;&nbsp; (1) RSA
&nbsp;&nbsp; (2) ECC
Your selection? 1
What keysize do you want? (2048) 4096
The card will now be re-configured to generate a key of 4096 bits
Changing card key attribute for: Encryption key
Please select what kind of key you want:
&nbsp;&nbsp; (1) RSA
&nbsp;&nbsp; (2) ECC
Your selection? 1
What keysize do you want? (2048) 4096
The card will now be re-configured to generate a key of 4096 bits
Changing card key attribute for: Authentication key
Please select what kind of key you want:
&nbsp;&nbsp; (1) RSA
&nbsp;&nbsp; (2) ECC
Your selection? 1
What keysize do you want? (2048) 4096
The card will now be re-configured to generate a key of 4096 bits

Pro každý klíč (tj. podpisový, šifrovací a ověřovací klíč) můžete zvolit atribut. Většina lidí bude pro každý klíč používat stejné atributy. Zadejte list a podívejte se na výsledek (podívejte se do pole „Atributy klíče“, které nyní zní rsa4096).

gpg/card> list

Reader ...........: 20A0:4108:0000320E0000000000000000:0
Application ID ...: D27600012401020100050000320E0000
Version ..........: 2.1
Manufacturer .....: ZeitControl
Serial number ....: 0000320E
Name of cardholder: [not set]
Language prefs ...: de
Sex ..............: unspecified
URL of public key : [not set]
Login data .......: [not set]
Signature PIN ....: forced
Key attributes ...: rsa4096 rsa4096 rsa4096
Max. PIN lengths .: 32 32 32
PIN retry counter : 3 0 3
Signature counter : 0
Signature key ....: [none]
Encryption key....: [none]
Authentication key: [none]
General key info..: [none]

Zadejte quit a stiskněte enter pro ukončení nebo pokračujte přímo v předchozí části, abyste skutečně vygenerovali klíče s právě nastavenými atributy.

Následující tabulka ukazuje, který algoritmus lze použít na kterém zařízení.

Start

Pro + úložiště

Pro 2 + úložiště 2

rsa1024

rsa2048

rsa3072

rsa4096

curve25519 (ECC)

NIST (ECC)

Brainpool (ECC)

secp256k1

Exportování veřejného klíče a používání serveru Keyserver#

Přestože můžete začít používat klíč Nitrokey ihned po vygenerování klíčů ve svém systému, je třeba importovat veřejný klíč do každého systému, ve kterém chcete klíč Nitrokey používat. Chcete-li být připraveni, máte tedy dvě možnosti: Buď si veřejný klíč uložíte kamkoli a použijete ho v jiném systému, nebo si veřejný klíč uložíte na webovou stránku/keyserver.

Generování souboru veřejného klíče#

Chcete-li získat jednoduchý soubor svého veřejného klíče, stačí použít gpg2 --armor --export keyID > pubkey.asc. Jako „keyID“ použijte buď otisk prstu (podívejte se na gpg -K a získejte jej), nebo jako identifikátor použijte pouze svou e-mailovou adresu.

Tento soubor můžete nosit s sebou nebo ho poslat komukoli, komu se vám líbí. Tento soubor není vůbec tajný. Pokud chcete použít klíč Nitrokey v jiném systému, nejprve tento veřejný klíč importujte pomocí gpg2 --import pubkey.asc a poté zadejte gpg2 --card-status, aby systém věděl, kde má tento klíč hledat. To je vše.

Nahrání veřejného klíče#

Pokud nechcete mít veřejný soubor s klíčem u sebe, můžete jej nahrát na server keyserver. Můžete to provést zadáním gpg --keyserver search.keyserver.net --send-key keyID. Pokud používáte jiný počítač, můžete jej jednoduše importovat pomocí gpg --keyserver search.keyserver.net --recv-key keyID.

Další možností je změnit nastavení adresy URL na kartě. Spusťte znovu gpg -card-edit a nejprve nastavte adresu URL, na které se klíč nachází (např. na keyserveru nebo na vaší webové stránce apod.), pomocí příkazu url. Od této chvíle můžete klíč importovat do jiného systému pouze pomocí příkazu fetch v rámci prostředí gpg --card-edit.