Papildomi dešifravimo subklavišai (ADSK) su GnuPG

Nitrokey 3	Nitrokey Passkey	Nitrokey FIDO2	„Nitrokey U2F	„Nitrokey HSM 2	Nitrokey Pro 2	„Nitrokey Start	„Nitrokey“ saugykla 2
✓	⨯	⨯	⨯	⨯	✓	✓	✓

Papildomi dešifravimo subklavišai (ADSK) gali būti naudojami automatiškai pridėti gavėjus šifruojant žinutę su GnuPG. Tipiniai naudojimo atvejai

• turėti vieną šifravimo raktą grupei ir nereikalauti, kad grupės nariai dalytųsi privačiuoju raktu,

• prie šifravimo rakto pridedant atsarginį raktą, ir

• nustatyti pagrindinį raktą, kuriuo galima iššifruoti kitų raktų pranešimus.

Pastaba

ADSK konfigūruoti reikia „GnuPG 2.4.1“ arba naujesnės versijos. Norint ADSK raktu užšifruoti pranešimą, reikia GnuPG 2.2.42 arba naujesnės versijos.

Apžvalga

Šiame vadove paaiškinama, kaip pridėti atsarginį raktą (naudotojo ID backup@example.com) kaip ADSK prie pagrindinio rakto (naudotojo ID main@example.com). Abu raktai saugomi „Nitrokey“ rakte. Tuos pačius veiksmus galima naudoti norint prie rakto pridėti kelis ADSK arba tą patį raktą kaip ADSK pridėti prie kelių kitų raktų.

Raktai paruošiami

Norėdami sukurti du raktus, vadovaukitės vienu iš šių vadovų:

• „OpenPGP“ raktų generavimas su atsargine kopija

• „OpenPGP“ rakto generavimas įrenginyje

• „OpenPGP“ raktų generavimas naudojant GPA

Įsitikinkite, kad abu raktus galite išvardyti su gpg --list-keys, pavyzdžiui:

$ gpg --list-keys main@example.com backup@example.com
pub   ed25519 2023-07-04 [SC]
      55BC284C1D30D97638DA4A2C7963A4CD00C947CE
uid           [ultimate] Main Key <main@example.com>
sub   ed25519 2023-07-04 [A]
sub   cv25519 2023-07-04 [E]

pub   ed25519 2023-07-04 [SC]
      5271152B531F7FFD8787818251FB75800E281241
uid           [ultimate] Backup Key <backup@example.com>
sub   ed25519 2023-07-04 [A]
sub   cv25519 2023-07-04 [E]

ADSK pridėjimas

Pirmiausia nustatykite atsarginės kopijos rakto šifravimo poskyrio pirštų atspaudą:

$ gpg --list-keys --with-subkey-fingerprints backup@example.com
pub   ed25519 2023-07-04 [SC]
      5271152B531F7FFD8787818251FB75800E281241
uid           [ultimate] Backup Key <backup@example.com>
sub   ed25519 2023-07-04 [A]
      7AEA1A0EC7BD66FF03AFEFAC8F243D8EC7678FCC
sub   cv25519 2023-07-04 [E]
      C1735CB29890EEDEABCF1D0DC9310F81D77519BC

Ieškokite eilutės, prasidedančios sub, kurioje yra raidė E, nurodanti šifravimo galimybę turintį subklavišą. Šio sub rakto pirštų atspaudas nurodytas kitoje eilutėje. Šiuo atveju pirštų atspaudas yra C1735CB29890EEDEABCF1D0DC9310F81D77519BC.

Tada nustatykite pagrindinio rakto pirštų atspaudus:

$ gpg --list-keys main@example.com
pub   ed25519 2023-07-04 [SC]
      55BC284C1D30D97638DA4A2C7963A4CD00C947CE
uid           [ultimate] Main Key <main@example.com>
sub   ed25519 2023-07-04 [A]
sub   cv25519 2023-07-04 [E]

Jį rasite kitoje eilutėje po pub, šiuo atveju 55BC284C1D30D97638DA4A2C7963A4CD00C947CE.

Dabar galite pridėti ADSK naudodami --quick-add-adsk vėliavą:

$ gpg --quick-add-adsk \
      55BC284C1D30D97638DA4A2C7963A4CD00C947CE \
      C1735CB29890EEDEABCF1D0DC9310F81D77519BC

Pirmasis argumentas yra pagrindinio rakto pirštų atspaudas. Antrasis argumentas yra atsarginio rakto šifravimo rakto poaibio pirštų atspaudas.

Galite patikrinti, ar ADSK sukurtas:

$ gpg --list-keys --with-subkey-fingerprints main@example.com
pub   ed25519 2023-07-04 [SC]
      55BC284C1D30D97638DA4A2C7963A4CD00C947CE
uid           [ultimate] Main Key <main@example.com>
sub   ed25519 2023-07-04 [A]
      9DF42A789DA4E848295C529634E35A6897DFABFD
sub   cv25519 2023-07-04 [E]
      1DFD6EA8D8B88BEA063ADB4BD75708BAF0CD49C8
sub   cv25519 2023-07-04 [R]
      C1735CB29890EEDEABCF1D0DC9310F81D77519BC

ADSK yra R (riboto naudojimo) galimybę turintis subklavišas. Jis turi tą patį pirštų atspaudą, kaip ir atsarginio rakto šifravimo poaibis.

Dabar viešąjį raktą galite platinti su ADSK.

ADSK naudojimas

Užšifruojant žinutę pagrindiniu raktu, atsarginis raktas dabar automatiškai įtraukiamas kaip gavėjas. Vieninteliai tam keliami reikalavimai:

• Pranešimo siuntėjas turi atnaujintą viešąjį raktą, kuriame yra ADSK.

• Pranešimo siuntėjas naudoja GnuPG 2.2.42 arba naujesnę versiją.

Jei pridėsite --verbose vėliavą, galėsite patikrinti, kokiais raktais užšifruotas pranešimas:

$ echo message | gpg --verbose --encrypt --armor --recipient main@example.com > /tmp/msg.asc
gpg: using pgp trust model
gpg: using subkey D75708BAF0CD49C8 instead of primary key 7963A4CD00C947CE
gpg: automatically retrieved 'main@example.com' via Local
gpg: This key belongs to us
gpg: reading from '[stdin]'
gpg: writing to stdout
gpg: ECDH/AES256 encrypted for: "D75708BAF0CD49C8 Main Key <main@example.com>"
gpg: ECDH/AES256 encrypted for: "C9310F81D77519BC Main Key <main@example.com>"

Taip pat galite naudoti --list-packets parinktį užšifruotam pranešimui patikrinti:

$ gpg --pinentry-mode cancel --list-packets /tmp/msg.asc | grep "pubkey enc packet"
:pubkey enc packet: version 3, algo 18, keyid D75708BAF0CD49C8
:pubkey enc packet: version 3, algo 18, keyid C9310F81D77519BC

Kiekviena pubkey enc packet eilutė reiškia vieną raktą, kuriuo galima iššifruoti pranešimą.

ADSK atšaukimas

Jei atšauksite ADSK, šifruojant pranešimą jis nebebus įtrauktas kaip gavėjas. Norėdami atšaukti, atidarykite raktą naudodami gpg --edit-key:

$ gpg --edit-key main@example.com

sec  ed25519/7963A4CD00C947CE
     created: 2023-07-04  expires: never       usage: SC
     card-no: FFFE 5E0E868D
     trust: ultimate      validity: ultimate
ssb  ed25519/34E35A6897DFABFD
     created: 2023-07-04  expires: never       usage: A
     card-no: FFFE 5E0E868D
ssb  cv25519/D75708BAF0CD49C8
     created: 2023-07-04  expires: never       usage: E
     card-no: FFFE 5E0E868D
ssb  cv25519/C9310F81D77519BC
     created: 2023-07-04  expires: never       usage: R
[ultimate] (1). Main Key <main@example.com>

Pasirinkite atšaukiamą rakto dalį naudodami key N. Pasirinktas pagalbinis raktas pažymėtas žvaigždute:

gpg> key 2

sec  ed25519/7963A4CD00C947CE
     created: 2023-07-04  expires: never       usage: SC
     card-no: FFFE 5E0E868D
     trust: ultimate      validity: ultimate
ssb  ed25519/34E35A6897DFABFD
     created: 2023-07-04  expires: never       usage: A
     card-no: FFFE 5E0E868D
ssb  cv25519/D75708BAF0CD49C8
     created: 2023-07-04  expires: never       usage: E
     card-no: FFFE 5E0E868D
ssb* cv25519/C9310F81D77519BC
     created: 2023-07-04  expires: never       usage: R
[ultimate] (1). Main Key <main@example.com>

Atšaukite pagalbinį raktą naudodami revkey ir išsaugokite pakeitimus naudodami save:

gpg> revkey
Do you really want to revoke this subkey? (y/N) y
Please select the reason for the revocation:
  0 = No reason specified
  1 = Key has been compromised
  2 = Key is superseded
  3 = Key is no longer used
  Q = Cancel
Your decision? 0
Enter an optional description; end it with an empty line:
>
Reason for revocation: No reason specified
(No description given)
Is this okay? (y/N) y


sec  ed25519/7963A4CD00C947CE
     created: 2023-07-04  expires: never       usage: SC
     card-no: FFFE 5E0E868D
     trust: ultimate      validity: ultimate
ssb  ed25519/34E35A6897DFABFD
     created: 2023-07-04  expires: never       usage: A
     card-no: FFFE 5E0E868D
ssb  cv25519/D75708BAF0CD49C8
     created: 2023-07-04  expires: never       usage: E
     card-no: FFFE 5E0E868D
ssb  cv25519/C9310F81D77519BC
     created: 2023-07-04  revoked: 2023-07-04  usage: R
[ultimate] (1). Main Key <main@example.com>

gpg> save

Dabar išplatinkite atnaujintą viešąjį raktą.

Pastaba

Atšaukimas įsigalios tik tada, kai siuntėjas atnaujins viešąjį raktą su atšauktu ADSK. Pranešimus, kurie jau buvo užšifruoti, vis tiek galima iššifruoti naudojant ADSK, net jei jis atšauktas.