gunpg-use

GnuPG(GNU Privacy Guard或GPG)是一个以GNU通用公共许可证释出的开放源码用于加密或签名的软件,可用来取代PGP。大多数gpg软件仅支持命令行方式,一般人较难掌握。由于gpg软件开放源代码,很难隐藏后门,因此比pgp等商业软件安全。

install gnupg

whoami@ubuntu:~$ sudo apt-get install gnupg #for ubuntu
whoami@centos:~$  yum install gnupg #for centos

generate key

whoami@ubuntu:~$  gpg --gen-key
gpg (GnuPG) 1.4.16; Copyright (C) 2013 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

gpg: 已创建目录‘/home/whoami/.gnupg’
gpg: 新的配置文件‘/home/whoami/.gnupg/gpg.conf’已建立
gpg: 警告:在‘/home/whoami/.gnupg/gpg.conf’里的选项于此次运行期间未被使用
gpg: 钥匙环‘/home/whoami/.gnupg/secring.gpg’已建立
gpg: 钥匙环‘/home/whoami/.gnupg/pubring.gpg’已建立
请选择您要使用的密钥种类:
   (1) RSA and RSA (default)
   (2) DSA and Elgamal
   (3) DSA (仅用于签名)
   (4) RSA (仅用于签名)
您的选择? 1
RSA 密钥长度应在 1024 位与 4096 位之间。
您想要用多大的密钥尺寸?(2048) 
您所要求的密钥尺寸是 2048 位
请设定这把密钥的有效期限。
         0 = 密钥永不过期
      <n>  = 密钥在 n 天后过期
      <n>w = 密钥在 n 周后过期
      <n>m = 密钥在 n 月后过期
      <n>y = 密钥在 n 年后过期
密钥的有效期限是?(0) 0
密钥永远不会过期
以上正确吗?(y/n) y

您需要一个用户标识来辨识您的密钥;本软件会用真实姓名、注释和电子邮件地址组合
成用户标识,如下所示:
    “Heinrich Heine (Der Dichter) <heinrichh@duesseldorf.de>”

真实姓名: whoami
电子邮件地址: whoami.itweet@qq.com
注释: whoami
您选定了这个用户标识:
    “whoami (whoami) <whoami.itweet@qq.com>”

更改姓名(N)、注释(C)、电子邮件地址(E)或确定(O)/退出(Q)? o
您需要一个密码来保护您的私钥。

我们需要生成大量的随机字节。这个时候您可以多做些琐事(像是敲打键盘、移动
鼠标、读写硬盘之类的),这会让随机数字发生器有更好的机会获得足够的熵数。

随机字节不够多。请再做一些其他的琐事,以使操作系统能搜集到更多的熵!
(还需要198字节)

*******如果提示你以上你可以新开一个终端,在命令行执行tree /

.....+++++
+++++
我们需要生成大量的随机字节。这个时候您可以多做些琐事(像是敲打键盘、移动
鼠标、读写硬盘之类的),这会让随机数字发生器有更好的机会获得足够的熵数。

随机字节不够多。请再做一些其他的琐事,以使操作系统能搜集到更多的熵!
(还需要74字节)
............+++++

...+++++
gpg: /home/whoami/.gnupg/trustdb.gpg:建立了信任度数据库
gpg: 密钥 CC5E7372 被标记为绝对信任
公钥和私钥已经生成并经签名。

gpg: 正在检查信任度数据库
gpg: 需要 3 份勉强信任和 1 份完全信任,PGP 信任模型
gpg: 深度:0 有效性:  1 已签名:  0 信任度:0-,0q,0n,0m,0f,1u
pub   2048R/CC5E7372 2015-10-14
      密钥指纹 = 96D4 36CC 5871 F7EA 0509  162E 1686 DC44 CC5E 7372
uid                  whoami (whoami) <whoami.itweet@qq.com>
sub   2048R/9F7266CD 2015-10-14

show key

whoami@ubuntu:~$ gpg --list-keys
/home/whoami/.gnupg/pubring.gpg
-------------------------------
pub   2048R/CC5E7372 2015-10-14
uid                  whoami (whoami) <whoami.itweet@qq.com>
sub   2048R/9F7266CD 2015-10-14

从中我们可以看到刚才生成的钥匙对的公钥部分,其中:

CC5E7372 是这个公钥的id,这个id跟uid都是用于标识这个公钥的,因为uid是用户随便输入的所以会有重复的情况,因此在某些需要明确指定公钥的命令,需要用id而不能用uid表示这个公钥。另外在使用这个id表示一个钥匙时,记得在前面加上”0x”,是零和字母XYZ的X,比如”0xCC5E7372″
2013-04-17 是生成这个公钥的时间,后面括号内的是有效期。
在实际应用中,因为要发送加密信息给你的朋友就需要对方的公钥,所以在本机上可能会有多个朋友的公钥,但私钥往往只有一个,也就是自己的私钥。使用下面命令可以查看本机上的私钥。

whoami@ubuntu:~$ gpg --list-secret-keys

output public key

whoami@ubuntu:~$ gpg -a --output key.public --export UID
注:你要把其中的 UID 替换成你的名字或者email地址。

其中参数

    -a 表示输出文本文件格式。默认输出是二进制格式,因为二进制格式不太方便在网络(比如论坛或者博客)上展示,所以推荐文本格式。
    –output 指定输出文件的名字,你可以更改为其他名字。
    –export 表示执行输出公钥操作,后面的 UID 为你要输出的公钥的标识。

whoami@ubuntu:~$ cat key.public 
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1
......
......
-----END PGP PUBLIC KEY BLOCK-----

send public key to public-key server

公钥导出之后,你可以通过各种方式把它发送给你的朋友,比如email或者聊天工具。而
比较方便的是把公钥发布到公钥服务器。

whoami@ubuntu:~$ gpg --keyserver keys.gnupg.net --send-key PID
gpg: 将密钥‘PID’上传到 hkp 服务器 keys.gnupg.net

注:你要把其中的 PID 替换成你公钥的id。

其中参数:

    –keyserver 用于指定公钥服务器,没有特殊需求的话是可以省略这个参数的,不过有些 GnuPG 版本可能需要指定这个参数才能正常工作。
    –send-key 用于指定待发布的公钥的id。

好了,至此你已经学会生成钥匙对以及发布公钥了。

use command gpg file

1、在公钥服务器搜索作者的公钥并导入到本机
whoami@ubuntu:~$ gpg --keyserver keys.gnupg.net --search-key whoami
参数 –search-key 用于指定搜索关键字,可以是uid的名字或者email地址部分。结果大致如下:

gpg: 搜索“whoami”,在 hkp 服务器 keys.gnupg.net 上
(1) whoami (whoami) <whoami.itweet@qq.com>
      2048 bit RSA key CC5E7372, 创建于:2015-10-14


whoami@ubuntu:~$  gpg --keyserver keys.gnupg.net --recv-key 0xCC5E7372
gpg: 下载密钥‘CC5E7372’,从 hkp 服务器 keys.gnupg.net
gpgkeys: key CC5E7372 not found on keyserver
gpg: 找不到有效的 OpenPGP 数据。
gpg: 合计被处理的数量:0


# 这里需要时间同步,所以不能立即查询到!

如果你朋友已经发送给你了 key.public公钥文件,通过下面命令直接导入你朋友的公钥
whoami@ubuntu:~$ gpg --import key.public

2、核对公钥的指纹值并签收公钥
 因为公钥有可能出现冒牌货,所以每个公钥里都加入了指纹值,使用下面命令可以查看指纹值

whoami@ubuntu:~$  gpg --fingerprint
/home/whoami/.gnupg/pubring.gpg
-------------------------------
pub   2048R/CC5E7372 2015-10-14
      密钥指纹 = 96D4 36CC 5871 F7EA 0509  162E 1686 DC44 CC5E 7372
uid                  whoami (whoami) <whoami.itweet@qq.com>
sub   2048R/9F7266CD 2015-10-14

确定取得的公钥是真货之后,使用如下命令对这个公钥进行签收(sign key):
whoami@ubuntu:~$ gpg --sign-key whoami

pub  2048R/CC5E7372  创建于:2015-10-14  有效至:永不过期       可用于:SC  
                     信任度:绝对        有效性:绝对

运行上面的命令之后它提示你再确认一次指纹值,输入y并按回车确定。

提示,如果发现获取回来的是冒牌货,可以使用如下的命令删除它:

whoami@ubuntu:~$ gpg --delete-keys whoami

3、加密一个文件
whoami@ubuntu:~$ gpg -a --output mm-ciper.cfg -r whoami.itweet@qq.com -e mm.cfg 

中参数:

    -a 表示输出文本文件格式。
    –output 指定输出(即加密后)的文件名。
    -r 指定信息的接收者(recipient)公钥的uid,可以是名字也可以是email地址。
    -e 表示这次要执行的是加密(encrypt)操作。

执行完毕之后会在当前文件夹产生文件 mm-ciper.cfg,这个就是被加密之后的文件。

注:如果你要加密的是一个二进制文件,则可以省略 -a 参数,这样产生的加密文件的体积会小一些

4、解密一个文件
whoami@ubuntu:~$ gpg --output mm-plain.txt -d mm-ciper.cfg 
                #注:第一次这里会提示输入密码,为你刚开始使用gpg设置的秘密

其中参数:

    –output 指定输出(即解密后)的文件名。
    -d 表示这次要执行的是解密(decrypt)操作。
    GnuPG程序会自动使用我的私钥来解密信息,最后得到一个跟原始内容一样的文本文件mm-plain.txt。

至此,你已经学会使用 GnuPG 加密解密文件了。

提示1:导入公钥、核对公钥的指纹值、签名公钥这些操作你只需做一次,以后就可以重复多次使用该公钥加密信息并发送给对方。

提示2:如果你想自己体会整个加密和解密过程,可以用自己的公钥加密信息,然后用自己的私钥解密,只需把上面第3步的命令当中的接收者uid(whoami@qq.com)更改为自己的uid即可。

使用命令行对文件进行数字签名

1、数字签名一个文件的方法A
whoami@ubuntu:~$ gpg -a -b mm.cfg 
其中参数

    -a 表示输出文本文件格式。
    -b 表示以生成独立的签名文件的方式进行签名。
命令执行完毕之后,会在当前文件夹里产生一个 mm.cfg.asc 的文件,这个文件即签名。现在我应该把原信息文件 mm.cfg 连同签名文件 mm.cfg.asc 一起寄给你,然后你使用如下命令检验:

whoami@ubuntu:~$ gpg --verify mm.cfg.asc 
gpg: 于 2015年10月14日 星期三 17时15分18秒 CST 创建的签名,使用 RSA,钥匙号 CC5E7372
gpg: 完好的签名,来自于“whoami (whoami) <whoami.itweet@qq.com>”

其中最重要的是 “Good signature” 字样,表示通过检验,否则表示没通过检验(即意味着原信息的内容被篡改或者原信息不是我发出的)。

提示:如果你有多个私钥,在签名时需要加上参数 -u 指定私钥的 uid。

2、数字签名一个文件的方法B
如果不想生成一个独立的签名文件,则还可以用如下的命令进行签名:
whoami@ubuntu:~$ gpg -a --clearsign mm.cfg 

跟方法A不同的地方是用参数 –clearsign 替代了参数 -b。参数 clearsign 表示将签名和原信息合并在一起,并生成一个新文件。

命令运行后同样会生成一个文件 mm.cfg.asc,内容如下:
whoami@ubuntu:~$ cat mm.cfg.asc 
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
xxx
xxx
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1

iQEcBAEBAgAGBQJWHh4HAAoJEBaG3ETMXnNyxGAH/0bDL/J3kcLjbgtJdjrncbN6
ARq6W+V+05jnm8Uv7KlT7I2cs4ujerLY89ahfRdU0LQlW36Gs+GhonOM0JwvuyMP
bpwARW7ZBswWfY6HVgoc3taTlVaoIezYVnlryBXn7Kr7/PJfkZpX/Ig7UiH4wd60
UT/3h1cz/qfx2aH4PSggX6ersj/DadVMHSQVb+0OZrAlBwqbglEj2eZRfBiZMfNF
YK6tTKJKtE2blLemtQh8xAcTWq++BZdR8oFbXE26IoUhNWRz5VkNRMaABduX4+K6
qwiR1/j4N0Ureu7WFQuN/6vhOgd1hDkLQhfPxFMpcehqA/Oqq3XIztBs0Ye9LZc=
=xfIv
-----END PGP SIGNATURE-----

使用如下命令进行检验:
whoami@ubuntu:~$ gpg --verify mm.cfg.asc

使用如下命令可以把原始信息提取出来:
    whoami@ubuntu:~$ gpg --output mm-original.txt -d mm.cfg.asc

至此已经讲完 GnuPG 的基本操作了,如果你还想更深入了解它,这里有几篇官方的文档,推荐阅读一下:

迷你Howto教程:http://www.dewinter.com/gnupg_howto/english/GPGMiniHowto.html
迷你Howto教程(中文版): http://www.gnupg.org/howtos/zh/index.html
The GNU Privacy Handbook http://www.gnupg.org/gph/en/manual.html
另外 wiki 对 OpenPGP 的讲解也很有值得阅读:

Pretty Good Privacy http://en.wikipedia.org/wiki/Pretty_Good_Privacy
还有一些本文未提到但会用得上的命令:

Quick’n easy gpg cheatsheet http://irtfweb.ifa.hawaii.edu/~lockhart/gpg/

原创文章,转载请注明: 转载自Itweet的博客
本博客的文章集合: http://www.itweet.cn/blog/archive/