GnuPG Gentoo GebruikersgidsWat mag je van deze gids verwachten? Deze gids veronderstelt dat je weet wat publieke sleutelcryptografie is, hoe encryptie ongeveer werkt, en wat digitale handtekeningen zijn. Indien dat niet het geval is, lees dan de GnuPG Handbook (Engels), hoofdstuk 2. Deze gids legt je uit hoe je GnuPG moet installeren, hoe je een sleutelpaar aanmaakt, hoe je sleutels toevoegt aan je keyring, hoe je je publieke sleutel naar een keyserver stuurt, en hoe je berichten encodeert, signeert, controleert of decodeert. Je zal tevens leren hoe je bestanden encrypteert op je pc zodat anderen de inhoud ervan niet kunnen bekijken. Installatie van de nodige software Je moet op zijn minst emerge gnupg uitvoeren; indien je een e-mailclient wenst met ondersteuning voor GnuPG kan je pine (emerge pinepgp), mutt (emerge mutt), Mozilla/Netscape Mail, evolution (evolution is een Outlook achtige mailclient) en KDE's eigen KMail (welke in de kdenetwork package zit) proberen. Kgpg kan je interesseren indien je KDE gebruikt. Dit klein programmaatje laat je toe om sleutelparen aan te maken, sleutels te importeren, geimporteerde sleutels te signeren, sleutels te exporteren, en nog enkele andere features (het heeft op dit moment geen mogelijkheid tot het importeren van sleutels van keyservers, maar we zullen je dat later leren via de commandline interface). 2. Sleutels aanmaken en toevoegen aan je publieke keyring Om je sleutel aan te maken voer je gpg --gen-key uit. De eerste keer dat je dit uitvoert zal het enkele directories aanmaken. Voer het opnieuw uit om de sleutels aan te maken:
Hier heb je de keuze tussen verschillende types van sleutels. De meeste gebruikers zullen voor de default DSA/ElGamal gaan. De volgende vraag is de sleutelgrootte. Weet dat grotere sleutels veiliger zijn, maar je moet geen sleutels nemen die groter zijn dan 2048. Voor e-mail is 1024 meer dan voldoende. Na de sleutelgrootte komt de vervaldag. Hoe korter, hoe beter, maar de meeste gebruikers kunnen een sleutel nemen die niet vervalt, of misschien pas over 1 of 2 jaar.
Het is nu tijd om wat persoonlijke informatie in te geven over jezelf. Indien je je publieke sleutel wil verzenden naar andere mensen moet je je werkelijke e-mailadres ingeven.
Je moet je wachtwoord twee maal ingeven. Het is een goed idee om een sterk wachtwoord te gebruiken. Indien iemand ooit je private sleutel bemachtigt en je wachtwoord kraakt, dan kan hij/zij berichten versturen in jouw naam en iedereen zal geloven dat die inderdaad door jouw gestuurd zijn. Daarna zal GnuPG je sleutel aanmaken. Verplaats je muiscursor of speel een mp3'tje in de achtergrond om het proces sneller te doen verlopen aangezien dit random data aanmaakt. Een revocatiecertificaat aanmaken
Nadat je je sleutels aangemaakt hebt moet je een revocatiecertificaat aanmaken. Dit laat je toe om je sleutel ongeldig te maken indien er iets misloopt met je sleutel (bv wanneer iemand je sleutel/wachtwoord bemachtigd heeft).
De gpg --list-keys commando toont de sleutels in je publieke keyring. Je kan het gebruiken om de ID van je sleutel te weten te komen zodat je je revocatiecertificaat kan aanmaken. Het is nu een goed idee om alles van .gnupg over te kopieren en het revocatiecertificaat ergens op een veilige plaats op te slaan (bijvoorbeeld op 2 floppies of een CD-R die je ergens op een veilige plaats opslaat). Herinner je eraan dat revoke.asc kan gebruikt worden om je sleutels ongeldig te maken in de toekomst.
Om je sleutel te exporteren type je gpg --armor --output john.asc --export john@nwhere.someplace.flick. Je kan alles gebruiken wat de sleutel kan identificeren (hier gebruiken we het e-mailadres). Je hebt nu een john.asc bestand dat je naar je vrienden kan sturen, of op een webpagina plaatsen zodat mensen deze kunnen downloaden om veilig met je te kunnen communiceren. Om geexporteerde sleutels in je keyring te steken moet je ze eerst importeren en daarna de vingerafdruk controleren. Nadat je deze geverifieerd hebt moet je de geimporteerde sleutel accepteren.
Nu gaan we Luis Pinto's sleutel in onze publieke keyring steken. Na hem te telefoneren en hem om zijn vingerafdruk te vragen (fingerprint dus :) controleren we deze met de uitvoer van het fpr commando. Aangezien de sleutel authentiek is voegen we ze toe aan de publieke keyring. In dit particulier geval vervalt de sleutel op 2003-12-01 dus wordt mij gevraagd of ik mijn eigen handtekening op zijn sleutel wil doen vervallen op dezelfde datum.
3. Sleutels uitwisselen via keyservers Sleutels verzenden naar keyservers Nu dat je je sleutel hebt is het waarschijnlijk een goed idee om deze te verzenden naar een keyserver. Er zijn verschillende keyservers in de wereld en de meesten wisselen sleutels uit. Hier gaan we Luis' sleutel naar pgp.mit.edu verzenden. Deze maakt gebruik van HTTP, dus indien je een proxy moet instellen voor http-verkeer, doe dat dan nu (export http_proxy=http://proxy_server:poort/). Het commando voor het verzenden van de sleutel is gpg --keyserver pgp.mit.edu --keyserver-options honor-http-proxy --send-key john@nowhere.someplace.flick. Indien je geen HTTP proxy nodig hebt kan je de --keyserver-options honor-http-proxy weglaten. Je kan dus ook andere mensen hun sleutel uploaden nadat je ze gesigneerd hebt. We kunnen dus Luis Pinto's sleutel naar de keyserver sturen. Op deze manier kan iemand, die jouw sleutel vertrouwt, ook Luis' sleutel vertrouwen aangezien jij die gesigneerd hebt. We gaan nu Gustavo Felisberto's sleutel zoeken en toevoegen aan onze keyring.
Zoals je kan zien aan de server zijn antwoord heeft Gustavo al een aardig aantal sleutels naar de keyserver gestuurd. Op dit moment gebruikt hij B9F2D52A. Je kan deze nu binnenhalen en, indien je ervan overtuigd bent dat de sleutel authentiek is (i.e. na controle van de fingerprint) kan je deze signeren. Veronderstel nu dat je een bestand hebt dat je naar Luis wil zenden. Je kan dat bestand encrypteren, singeren, of encrypteren en signeren. Encrypteren wil zeggen dat enkel Luis dat bestand zal kunnen lezen. Handtekenen wil zeggen dat Luis weet dat het echt wel jij was die het bestand gecreeerd heeft. De volgende 3 commando's doen dat: encrypteren, signeren, en encrypteren+signeren.
Dit zal binaire bestanden aanmaken. Indien je er ascii-bestanden wil van maken, voeg dan --clearsign vooraan aan het commando toe. Decrypteren en verifieren van handtekeningen Veronderstel dat je een bestand hebt ontvangen dat voor jouw geencrypteerd is. Het commando om te decrypteren is gpg --output document --decrypt geencrypteerd_document.gpg. Dit zal het document decrypteren en, indien er een handtekening aan hangt, verifieren. kgpg is een GUI interface voor GnuPG. In het hoofdscherm kan je tekst plakken die je wil signeren of encrypteren, alsook geencrypteerde tekst plaatsen die je wil decrypteren.
In deze screenshot kan je kgpg's hoofdscherm zien met geencrypteerde tekst in. Van hieruit kan je deze decrypteren (je zal uiteraard je wachtwoord moeten meeleveren), andere bestanden encrypteren, nieuwe tekst plakken om te signeren, ...
Hier zie je het sleutelbeheerscherm. We zien hier John Doe's sleutel, 2 vertrouwde sleutels (Gustavo en Luis), en de niet-vertrouwde sleutel van Daniel Robbins (aangezien we die nog niet gebeld hebben om zijn vingerafdruk te controleren).
Mozilla's versie 1.0 of hoger komt met Enigmail, een plugin voor de mailclient die zeer eenvoudig te configureren is. Je moet gewoon naar Preferences -> Privacy & Security -> Enigmail gaan. Daar geef je je sleutel's e-mailadres in, en daarmee is het configureren beeindigd :). Mails die van een niet-vertrouwde pgp of gpg gesigneerd zijn zullen door een gebroken pen aangeduid worden. Andere zullen een volledige pen als symbool krijgen. Enigmail heeft tevens de mogelijkheid om sleutels van keyservers te halen, maar als het problemen heeft met iets zal het zeer vreemde berichten geven (je weet toch nog steeds hoe je met de commando's moet werken eh? :). Kmail is ook zeer eenvoudig in te stellen. Ik zal gewoon enkele screenshots geven waaruit je gemakkelijk kan afleiden hoe je KMail hiervoor configureert. Het komt erop neer dat je KMail vertelt dat hij GnuPG moet gebruiken en via welke sleutel hij moet signeren. 6. Finale gedachten, credits en resources Ik had enkele problemen met het importeren van foto's in de keyring. Controleer allesinds de versie van GnuPG die je gebruikt. Indien je GnuPG 1.2.1-r1 of later hebt dan zit je waarschijnlijk goed, maar oudere versies kunnen problemen geven. De meeste keyservers houden ook niet echt van sleutels met foto's in. Gpg is een zeer complexe tool die je toelaat om veel meer te doen dan wat hier uitgelegd staat. Dit document is voor de gebruiker die GnuPG niet kent. Voor meer informatie dien je de GnuPG Website te raadplegen. Ik bespreek tevens geen andere tools zoals pgp4pine, gpgpine, evolution en Windows tools, maar misschien dat dit in de toekomst verandert. John Michael Ashley's GnuPG Handbook is eenvoudigweg prachtig. Het is een zeer goed boek voor beginners (Engels). Iedereen in de #gentoo-doc team: jullie zijn gewoon de max! Tiago Serra wordt bedankt om me terug naar de privacy te lokken. Copyright door Gustavo Felisberto. Gentoo Technologies Inc. mag dit document publiceren op de manier dat het dat zelf wenst. |
|
