GPG

Sissejuhatus

GPG (GNU Privacy Guard) on vabavaraline tööriist, mis baseerub OpenPGP standardil. See võimaldab failide ja e-posti krüpteerimist ning digiallkirjastamist. Krüpteerimine tagab teabe konfidentsiaalsuse ja digiallkirjastamine andmete tervikluse. GNU Privacy Guard on eelkõige käsurealt kasutamiseks mõeldud, kuid leidub ka erinevat graafilise kasutajaliidesega tarkvara, mis GnuPG kasutamist võimaldab. Teatud rakendustele (näiteks Evolution, Mozilla Thunderbird, Kmail ja Psi) on see funktsioon juba sisse integreeritud.

GnuPG abil saame krüpteerida sõnumeid, kasutades selleks asümmeetrilist ehk avalikku võtit, mis kasutaja poolt genereeritakse. Dešifreerimine toimub salajase võtme abil. Koos moodustavad avalik ning salajane võti võtmepaari. Avalikku võtit saab vahetada teiste kasutajatega näiteks läbi võtmeserverite või failina saates. GPG toetab ka mitmesuguseid sümmeetrilisi krüptoalgoritme, vaikimis kasutatakse CAST5 salajase võtmega krüptoalgoritmi. Tegu on vabavaralise programmiga ja GPGs on kasutusel ainult patenteerimata krüptoalgoritmid.

Võtmepaari iseloomustab sõrmejälg, mis on nii avalikul kui salajasel võtmel sama:

$ gpg --list-keys
pub   ed25519 2020-02-12 [SC]
      58AA6DD2C39E2CC6CB047B91409532D1CC948816
uid           [ultimate] Eesnimi3 Perenimi3 <eesnimi3@perenimi3.ee>
uid           [ultimate] Eesnimi Perenimi <eesnimi@perenimi.ee>
uid           [ultimate] Eesnimi2 Perenimi2 <eesnimi2@perenimi2.ee>
uid           [ultimate] [jpeg image of size 5671]
sub   cv25519 2020-02-12 [E]

Siin on siis 58AA6DD2C39E2CC6CB047B91409532D1CC948816 selle võtmepaari sõrmejälg.

Kenama pildi saab:

$ gpg --list-keys --keyid-format LONG --fingerprint
pub   ed25519/409532D1CC948816 2020-02-12 [SC]
      Key fingerprint = 58AA 6DD2 C39E 2CC6 CB04  7B91 4095 32D1 CC94 8816
uid                 [ultimate] Eesnimi3 Perenimi3 <eesnimi3@perenimi3.ee>
uid                 [ultimate] Eesnimi Perenimi <eesnimi@perenimi.ee>
uid                 [ultimate] Eesnimi2 Perenimi2 <eesnimi2@perenimi2.ee>
uid                 [ultimate] [jpeg image of size 5671]
sub   cv25519/6765DBFA115A5CCD 2020-02-12 [E]

GPG paigaldamine

Kuna suurem osa Linuxi distributsioonide paigaldusmeedia sisaldab GNU Privacy Guardi, siis pole seda tarvis eraldi paigaldada. Vajadusel saab GPG endale hankida http://gnupg.org/download/index.en.html veebilehelt.

Paigaldamine Ubuntu jt Debiani-põhistes Linuxites:

sudo apt update && sudo apt install gnupg2 xloadimage && sudo apt clean

GPG kasutamine

Nurksulgude < > vahel oleva teksti asemele tuleb kasutajal ise andmed sisestada.
Näiteks:

gpg --output <failinimi.midagi> --gen-revoke <avaliku võtme ID>
Näide: gpg --output siinonminutühistussertifikaat.asc --gen-revoke D29AF589

Esimese huvi pakkuva asjana võiks vaadata, millise GnuPG versiooniga meil tegemist on. Sama käsklust kasutades näeme ka milliseid krüptoalgoritme GPG toetab. Sisesta terminali:

gpg --version

Väljund:

gpg (GnuPG) 2.2.4
libgcrypt 1.8.1
Copyright (C) 2017 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <https://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Home: /home/kasutaja/.gnupg
Toetatud algoritmid:
Avalik võti: RSA, ELG, DSA, ECDH, ECDSA, EDDSA
Šiffer: IDEA, 3DES, CAST5, BLOWFISH, AES, AES192, AES256, TWOFISH,
        CAMELLIA128, CAMELLIA192, CAMELLIA256
Räsi: SHA1, RIPEMD160, SHA256, SHA384, SHA512, SHA224
Pakkimine: Pakkimata, ZIP, ZLIB, BZIP2

Võtmepaari genereerimine

Võtmepaari genereerimiseks tuleb terminali sisestada:

gpg --gen-key

Selle peale küsitakse meilt, millist võtit me genereerida soovime. Vaikimisi valitakse 1. variant (RSA and RSA). 1. ja 2. variandi puhul on võimalik nii krüpteerimine kui ka digiallkirjastamine.

Please select what kind of key you want:
   (1) RSA and RSA (default)
   (2) DSA and Elgamal
   (3) DSA (sign only)
   (4) RSA (sign only)
Your selection?

Järgmisena küsitakse meilt, kui pikka võtit me tahame, vaikimisi pakutakse võtme pikkuseks 2048 bitti.

RSA keys may be between 1024 and 4096 bits long.
What keysize do you want? (2048)

Nüüd tuleb määrata oma võtme kehtivusaeg. Vaikimisi on see 0 ehk lõpmatult, kuid siin tasub meeles pidada, et kui võtit enam ei kasutata, siis tuleb see ka tühistada.

Please specify how long the key should be valid.
         0 = key does not expire
      <n>  = key expires in n days
      <n>w = key expires in n weeks
      <n>m = key expires in n months
      <n>y = key expires in n years
Key is valid for? (0) 

Teie käest küsitakse “Is this correct? (y/N)“ Sisestage “y”

Järgmisena sammuna tuleb sisestada oma nimi, e-post, ja kommentaar(valikuline). Sisestage „o“, et oma võti luua.

Nüüd tuleb sisestada avanenud aknasse salasõna, millega soovite oma salajast võtit kaitsta.

Edasi võib oma tavapärase tööga jätkata, kuniks võtit genereeritakse.

We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy.

Oma avalikku võtit saate vaadata käsuga:

gpg --list-key

Väljund:

/home/test/.gnupg/pubring.gpg
------------------------------
pub   2048R/D29AF589 2012-11-27
uid                  Heli Kopter <hkopter@midagi.com>
sub   2048R/DF39B4EF 2012-11-27

Avalik võti on D29AF589

Salajast võtit käsuga:

gpg --list-secret-keys

Soovituslik oleks luua ka “revocation key”, millega saab avalikku võtit tühistada juhul, kui keegi on sinu salajase võtme teada saanud. Sisesta terminali:

gpg --output <failinimi.midagi> --gen-revoke <avalikvõti>
Näide: gpg --output siinonminurevocationkey.asc --gen-revoke D29Af589

Avalikku võtit saab võtmeserverisse üles laadida järgmise käsuga:

gpg –-send-keys <avalikvõti> --keyserver <keyserver.ubuntu.com>

Avalikku võtit on võimalik teisele osapoolele ka eraldi failina edastada, näiteks e-posti teel või mõne muu meediumi kaudu. Kuid esmalt tuleb avalik võti ASCII armored formaati eksportida. Selleks tuleb terminalis sisestada järgmine käsk:

gpg --armor --export <sinu_e-post@random.com> > <voti.asc>

Kellegi teise avaliku võtme importimine failist:

gpg --import <failinimi.midagi>

See tagab selle, et teise osapoolega on info vahetamine võimalik. Pärast importimist lisandub teise isiku avalik võti sinu pubring.gpg faili. Veendu, et importimine oli edukas. Selleks sisesta varem kasutatud käsk "gpg --list-key".

Avaliku võtme importimine võtmeserverist:

gpg --search-keys <e-post@random.com> --keyserver <keyserver.ubuntu.com>

GPG võtmepaari kustutamine:

gpg --delete-secret-and-public-key <avalikvõti>

Andmete krüpteerimine

Avatekst + vastuvõtja avalik võti ---> krüptogramm
Faili krüpteerimiseks sisesta järgmine käsk:

gpg --output <väljundfail.midagi> --encrypt -r <saaja_e-post@random.com> <avateksti.midagi>
Näide: gpg --output eritisalajane.txt --encrypt -r keegi@midagi.com saladus.txt

Selle käsuga krüpteerisime me faili nimega saladus.txt, kasutades selleks isiku(kes kasutab e-posti aadressit keegi@midagi.com) avalikku võtit ja saime krüptogrammi nimega eritisalajane.txt. Kui nüüd tekkinud krüptogrammi less käsuga vaatame, siis näeme, et faili sisu pole loetav. Avateksti (saladus.txt) võib nüüd kustutada ning alles jääb ainult krüpteeritud fail (eritisalajane.txt).

Andmete dešifreerimine

Krüptogramm + vastuvõtja salajane võti ---> avatekst
Krüptogrammi(mis on krüpteeritud sinu avaliku võtmega) dešifreerimiseks sisesta järgmine käsk:

gpg --decrypt <krüptogramm.midagi> --output <väljundfail.midagi>
N: gpg --decrypt eritisalajane.txt –output tavaline.txt

Siinkohal tasuks mainida, et saatja ning vastuvõtja ei ole alati erinevad inimesed. GPG abil võime krüpteerida ka oma enda andmeid. Sellisel juhul luuakse krüptogramm ning avateksti võime kustutada. Seda saab lihtsalt teha sümmeetrilist krüptoalgoritmi kasutades:

gpg -s <avatekst.midagi>

Dešifreerimine toimub eelnevalt mainitud käsuga:

gpg -d <krüptogramm.midagi> -o <väljundfail.midagi>

Andmete signeerimine

Andmete signeerimiseks on mitu võimalust:

Krüpteeritud ASCII Armored fail. Tegemist on krüptogrammiga ning see pole ilma dešifreerimata loetav.

gpg --armor --sign <failinimi.midagi>

Allkirjastatakse fail, kuid sisu krüpteerimist ei toimu ning fail jääb loetavaks.

gpg --clearsign <failinimi.midagi>

Faili autentsust on võimalik kontrollida järgmise käsuga:

gpg --verify <failinimi.midagi>

Väljund:

gpg: Signature made Thu 29 Nov 2012 11:06:03 AM EET using RSA key ID D29AF589
gpg: Good signature from "Heli Kopter <hkopter@midagi.com>"

gpg --verify kontrollib ainult faili allkirja, kuid avateksti see näha ei võimalda(juhul kui fail on krüpteeritud). Selleks tuleb fail dešifreerida ning selle käigus kontrollitakse ka faili allkirja (käsku vaata eespoolt).

Käskude kohta leiab rohkem infot: http://manpages.ubuntu.com/manpages/lucid/man1/gpg.1.html

Kasutatud kirjandus

http://www.glump.net/howto/gpg_intro
http://www.randombugs.com/linux/gpg-ubuntu-debian.html
http://manpages.ubuntu.com/manpages/lucid/man1/gpg.1.html
http://www.gnupg.org/features.en.html
https://help.ubuntu.com/community/GnuPrivacyGuardHowto
http://www.spywarewarrior.com/uiuc/gpg/gpg-com-4.htm

Autor: Kaarel Kuurmann A21