GnuPG - šifrování a digitální podpis

GnuPG (GPG - GNU Privacy Guard) vzniklo jako náhrada kdysi zadarmo používaného PGP (Prity good privacy - dost dobré soukromí). Je to jeden z nejlepších programů na šifrování a digitální podepisování dle standardu GnuPGP (RFC 4880).

Linuxová komunita obvykle preferuje zabezpečení pomocí OpenPGP, MS Windows a státní správa dává
přednost S/MIME (Secure/Multipurpose Internet Mail Extensions).

V OS linux je již GnuPG standardně nainstalován. Stačí si v terminálu (příkazový řádek) zadat příkaz na zjištění
verze GnuPG:

uzivatel@PC-lin:~$ gpg --version
gpg (GnuPG) 2.2.27
libgcrypt 1.9.4
Copyright (C) 2021 Free Software Foundation, Inc.
License GNU GPL-3.0-or-later <https://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Home: /home/uzivatel/.gnupg
Podporované algoritmy:
Veřejný klíč: RSA, ELG, DSA, ECDH, ECDSA, EDDSA
Šifra: IDEA, 3DES, CAST5, BLOWFISH, AES, AES192, AES256, TWOFISH,
CAMELLIA128, CAMELLIA192, CAMELLIA256
Hash: SHA1, RIPEMD160, SHA256, SHA384, SHA512, SHA224
Komprese: Nezkomprimováno, ZIP, ZLIB, BZIP2

Vypíše se verze GPG. Tím máme jistotu, že GPG je nainstalováno a funguje. Nyní všechny příkazy je dobré psát již jako gpg --příkaz.

Například:

gpg --version nebo gpg --help

Ve WINDOWS se musí GPG nainstalovat ze stránek GnuPG ( http://www.gnupg.org/ ). Vše potřebné zajistí Gpg4win program, který taky umožňuje kompletní správu nad GnuPG (správu klíčů, podpisů ap.). Taky lze při používání výborného emailového klienta THUNDERBIRD používat jeho doplněk ENIGMAIL, pak gpg4win nebudete potřebovat, ale musíte si před tím nainstalovat gpg.
Gpg4win návod - návod na používání v EN.
Gpg4win je možno stáhnot v několika verzích:

1. GPG4WIN-FULL (30 MB) - plná verze s GnuPG, Kleopatra, GPA, GpgOL, GpgEX, Claws Mail, Kompendium (de), Compendium (en).
2. GPG4WIN-LIGHT (13 MB) -  bez kleopatry a návodů, je tam GPA alternativa Kleopatry
3. GPG4WIN-VANILLA (4 MB) - pouze GnuPG komponenty, vhodné např. při práci s emailovým klientem THUNDERBIRD a ENIGMAIL.

V LINUXu stačí při používaní emailového klienta THUNDERBIRD používat jeho doplněk ENIGMAIL. Pokud chcete mít pohodlnou správu klíčů a podpisů a nebudete používat thunderbird a doplněk enigmail (který je na to asi nejlepší), stačí mít podobně jako ve windows gpg4win mít zde program SEAHORSE nebo GPA - GNU Privacy Assistant. Přitom první zmiňovaný již bývá součástí distribuce, takže stačí z příkazového řádku napsat seahorse, nebo ho nalezneme v nabídce aplikace, systémové nástroje, předvolby, hesla a klíče. GPA navíc umožňuje práci se schránkou, tedy šifrovat, podepisovat, dešifrovat a oveřovat zprávy ve schránce. Tím lze ukládat přes schránku šifrované emaily do webových emailových klientů (seznam.cz, google.com). S anonymizérem TOR pak lze skrýt nejen obsah přenášených zpráv ale i to, kdo s kým komunikuje. Tím se dostává ochrana soukromí na ještě vyšší úroveň. Na mobilech lze používat vynikající K-9 mail + OpenKeychain pro bezpečnou komunikaci.

Seznam nejpoužívanějších příkazů

gpg --gen-key = vytvoření páru klíčů (to bývá úplně to první, co je třeba udělat)
gpg --full-gen-key = plně pod kontrolou, jen tak se vytvoří 4096 bitový klíč
gpg --expert --full-gen-key = volba pro experty
gpg --help = výpis nápovědy
gpg -b dokument.pdf = vytvořit podpis oddělený od dokumentu
gpg --verify dokument.pdf.sig = ověřit podpis
gpg -b -u marsik@zmsoft.cz prava.pdf - parametr "u" když je více soukromých klíčů
gpg -se -r marsik@zmsoft.cz banner.png = zašifrovat a podepsat dokument
gpg -se -r AE0B5090 banner.png = zašifrovat a podepsat dokument
gpg -se -r AE0B5090 -a dopis.txt = zašifrovat a podepsat dokument v ASCI (v čitelné podobě)
gpg -se -r uzivatel@nejakadomena.cz --multifile *.txt = zašifruje a podepíše všechnu txt soubory a adresáři
gpg -se -r charvatub@seznam.cz -u urso@email.cz wob-sezona.jpg = pokud je více tajných privátních klíčů, parametr "u" určuje, kterým klíčem to podepsat
gpg -sea -R charvatub@seznam.cz banner.png = zašifrovat a podepsat v ASCII, -R neukládá identifikátor klíče, nelze vidět pro koho to je
gpg --encrypt-files -r AE0B5090 * = zašifrování všech souborů v aktuálním adresáři

Výše uvedené příkazy mají jednu vlastnost, do zašifrovaných dat se uloží identifikátor klíče (komu je zpráva určena). To by mohla být bezpečnostní slabina. Naštěstí to lze eliminovat zadáním "R", kdy se identifikátor klíče do dat neuloží:
gpg -se -R AE0B5090 zprava.txt - zašifrování a podepsání souboru jako anonymní adresát

gpg zprava.txt.gpg
gpg: anonymní adresát; zkouším tajný klíč FF7837AA ...
gpg: o.k., my jsme anonymní adresát.
gpg: zašifrováno ELG-E klíčem, ID 00000000
gpg: Podpis vytvořen Pá 13. květen 2016, 13:51:51 CEST pomocí klíče DSA s ID uživatele AE0B5090
gpg: Dobrý podpis od "Zdeněk Maršík (Květná 1843, UHERSKÝ BROD, ČOP:109777991) <marsik@zmsoft.cz>"
gpg:                 alias "[jpeg image of size 2355]"

gpg --output banner.png -d banner.png.gpg = dešifrovat a ověřit podpis
gpg kresba1.png.gpg = dešifrovat a ověřit podpis (zkrácený zápis)
gpg -d --multifile soubor.txt.gpg soubor2.txt.gpg soubor3.txt.gpg
gpg --refresh-keys = aktualizovat klíče ze serveru klíčů
gpg --fingerprint = výpis klíčů s otisky prstů
gpg --auto-key-locate keyserver --locate-keys zdem@zmsoft.cz - načtení (import) veřejného klíče
gpg --import jan_novak.asc = načtení nějakého veřejného klíče ze souboru
gpg -o zdenek.asc --export -a marsik@zmsoft.cz = export veřejného klíče do souboru
gpg -o sec_zdenek.asc --export-secret-key -a AB0F2030 = export soukromého (tajného) klíče do souboru
gpg --import sec_zdenek.asc = načtení soukromého (tajného) klíče ze souboru
gpg --recv-keys --keyserver pgp.mit.edu FA773B7F = stažení veřejného klíče ze serveru klíčů
gpg --sign-key FA773B7F = podepsání cizího veřejného klíče
gpg --export your_address@example.net | curl -T - https://keys.openpgp.org = odeslání veřejného klíče na server PGP klíčů
gpg -K = vypsání soukromého klíče
gpg --list-keys = výpis všech klíčů
gpg --list-options show-photo --list-keys = výpis všech klíčů i fotoid (fotkou)
gpg --search-keys Ferda Mravenec = hledání veřejného klíče
gpg --check-sigs = kontrola podpisů (status "!" = OK, "-" = chybný podpis, "%" = chyba během kontroly podpisu)
gpg --update-trustdb - úprava pavučiny důvěry, dotazy k jednotlivým klíčům
gpg --check-trustdb - úprava pavučiny důvěry automaticky bez dotazů
gpg --edit-key keyid: trust - nastavení míry důvěry pro vybraný klíč, check - seznam podpisů klíče
gpg --list-sigs AE0B5090 - výpis všech podpisů klíče
gpg --delete-secret-and-public-key EA2A1FAC = smazání tajného i veřejného klíče
gpg --dump-options = výpis všech příkazů

Úpravy klíčů

gpg --edit-key 7889841c = vstup do editace klíče
příkaz>help = výpis nápovědy
příkaz>passwd = změna hesla k tajnému klíči
příkaz>addphoto <ENTER> = přidání fotky
příkaz>expire <ENTER> = změna datumu vypršení platnosti klíče
příkaz>save <ENTER> = uložení změn
příkaz>quit <ENTER> = ukončení módu editace klíče bez uložení změn

Revokace (zneplatnění) veřejného klíče

Musíte k tomu mít tajný klíč!

1. Vytvořit revok. certifikát:
   gpg --output revoke_FA773B7F.asc --gen-revoke FA773B7F
   (bez vlastnictví tajného klíče to nelze provést)
   Po vytvoření rev. certifikátu se vypíše upozornění:
   Revokační certifikát byl vytvořen.
   Prosím přeneste jej na médium, které můžete dobře schovat. Pokud se
   k tomuto certifikátu dostane nepovolaná osoba, může zneplatnit Váš klíč.
2. gpg --import revoke_FA773B7F.asc
3. gpg --send-keys --keyserver pgp.mit.edu FA773B7F = odeslání revokovaného veřejného klíče na server klíčů
4. gpg --delete-secret-and-public-key FA773B7F = smazání tajného i veřejného klíče

Pozn.: Revokační certifikát se vytváří ihned po vytvoření páru klíčů.

Editace privátního (tajného) klíče

Do editačního módu přejdeme příkazem:

gpg --edit-key AE0B5090
gpg (GnuPG) 1.4.10; Copyright (C) 2008 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Tajný klíč je dostupný.

pub  1024D/AE0B5090  vytvořen: 2007-04-12  platnost skončí: 2017-03-21  použití: SC 
důvěra: absolutní    platnost: absolutní
sub  4096g/FF7837AA  vytvořen: 2007-04-12  platnost skončí: 2017-03-21  použití: E  
[  absolutní ] (1). Zdeněk Maršík (Květná 1843, UHERSKÝ BROD, ČOP:109777991) <marsik@zmsoft.cz>
[  absolutní ] (2)  [jpeg image of size 2355]

Příkaz>

Jako příkaz můžeme dát:

addptoto = přidání fotky
passwd = změna hesla k soukromému (tajnému) klíči

Aby se změny projevily, je nutné ukončit editační mód příkazem save.
Příkazem quit se editační mód ukončí bez uložení změn.

Šifrování v GPG symetrickou šifrou

Toto nevyžaduje mít tajný a veřejný klíč, ale bezpečnost je dána kvalitou hesla!

Zašifrování souboru symetrickou šifrou:

gpg -c banner.jpg
Vložte heslo: heslo
Opakujte heslo: heslo

Vytvoří se zašifrovaný soubor banner.png.gpg.

Dešifrování souboru zašifrovaného symetr. šifrou:

gpg --output banner.png -d banner.png.gpg
vložte heslo: heslo
gpg: CAST5 zašifrovaná data
gpg: zašifrováno jedním heslem
gpg: VAROVÁNÍ: zpráva nebyla chráněna proti porušení její integrity

GnuPG – gpg návod na vytvoření páru klíčů

Zjištění verze GnuPG

uzivatel@PC-lin:~$ gpg --version

gpg --full-gen-key
gpg (GnuPG) 2.2.19; Copyright (C) 2019 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Prosím, vyberte druh klíče, který chcete:
(1) RSA a RSA (implicitní)
(2) DSA a Elgamal
(3) DSA (pouze pro podpis)
(4) RSA (pouze pro podpis)
(14) Existing key from card
Váš výběr? <ENTER>
klíč RSA může mít délku v intervalu 1024 až 4096 bitů.
Jakou délku klíče si přejete? (3072) 4096
Požadovaná délka klíče je 4096 bitů.
Prosím určete, jak dlouho by klíč měl platit.
0 = doba platnosti klíče není omezena
<n>  = doba platnosti klíče skončí za n dní
<n>w = doba platnosti klíče skončí za n týdnů
<n>m = doba platnosti klíče skončí za n měsíců
<n>y = doba platnosti klíče skončí za n let
Klíč je platný po? (0) 30
Platnost klíče skončí v Pá 3. července 2020, 10:37:15 CEST
Je to správně (a/N)? a
GnuPG potřebuje sestrojit uživatelské ID, aby bylo možné rozpoznat
váš klíč.

Jméno a příjmení: Jan Hus
E-mailová adresa: janhus@seznam.cz
Komentář: Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789
Používáte znakovou sadu „utf-8“.
Zvolil(a) jste tento identifikátor uživatele:
„Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>“

Změnit (J)méno, (K)omentář, (E)-mail, (P)okračovat dál nebo (U)končit program? P
Musíme vytvořit mnoho náhodných bajtů. Během vytváření můžete
provádět nějakou jinou práci na počítači (psát na klávesnici, pohybovat myší,
používat disky); díky tomu má generátor lepší šanci získat dostatek entropie.

gpg: klíč 9FB42FB961DC9D51 označen jako absolutně důvěryhodný.
gpg: adresář „/home/zdenek/.gnupg/openpgp-revocs.d“ vytvořen
gpg: odvolací certifikát uložen jako „/home/zdenek/.gnupg/openpgp-revocs.d/E267C4466BF47646145B78759FB42FB961DC9D51.rev“
veřejný a tajný klíč byly vytvořeny a podepsány.

pub   rsa4096 2020-06-03 [SC] [platnost skončí: 2020-07-03]
E267C4466BF47646145B78759FB42FB961DC9D51
uid                      Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>
sub   rsa4096 2020-06-03 [E] [platnost skončí: 2020-07-03]

Vytvořený odvolací certifikát
v adresáři „/home/zdenek/.gnupg/openpgp-revocs.d/E267C4466BF47646145B78759FB42FB961DC9D51.rev“:

Toto je revokační certifikát pro OpenPGP klíč:

pub   rsa4096 2023-08-10 [S] [platnost skončí: 2023-08-17]
EB0AB9B9382CB8C77507195DDEC737F1F566B538
uid          Josef Novák (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <jonovak753@seznam.cz>

Odvolací certifikát je svým způsoben „bezpečnostní vypínač“, který
veřejně prohlašuje, že klíč by se již neměl používat. Jednou zveřejněný
odvolací certifikát již nelze vzít zpět.

Použijte jej pro odvolání tohoto klíče v případě zneužití nebo ztráty
soukromého klíče. Avšak bude-li soukromý klíč stále přístupný, bude
lepší vytvořit nový odvolací certifikát s odůvodněním odvolání.
Podrobnosti naleznete v manuálu GnuPG u popisu příkazu
„gpg --generate-revocation“.

Aby se zabránilo nechtěnému použití tohoto souboru, níže před 5 pomlček byla
vložena dvojtečka. Před importem a zveřejněním tohoto odvolacího certifikátu
odstraňte tuto dvojtečku textovým editorem.

:-----BEGIN PGP PUBLIC KEY BLOCK-----
Comment: This is a revocation certificate
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=wTlf
-----END PGP PUBLIC KEY BLOCK-----

Nahrání fotky

gpg --edit-key E267C4466BF47646145B78759FB42FB961DC9D51
gpg (GnuPG) 2.2.19; Copyright (C) 2019 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Tajný klíč je dostupný.

sec  rsa4096/9FB42FB961DC9D51
vytvořen: 2020-06-03  platnost skončí: 2020-07-03  použití: SC 
důvěra: absolutní    platnost: absolutní
ssb  rsa4096/98E70FD585E93D6C
vytvořen: 2020-06-03  platnost skončí: 2020-07-03  použití: E  
[  absolutní ] (1). Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>

gpg> addphoto

Vyberte obrázek, který bude použit jako Vaše fotografické ID. Obrázek musí
být ve formátu JPEG. Nezapomeňte, že obrázek bude uložen ve Vašem veřejném
klíči - velký obrázek bude mít za následek velmi velký veřejný klíč !
Vhodná velikost obrázku je asi 240x288.

Vložte jméno JPEG souboru s fotografickým ID: hus.jpg
Tento JPEG je opravdu velký (6347 bajtů)!
Jste si jistý(á), že jej chcete použít? (a/N) a
Icon theme "elementary" not found.
Je tato fotografie správná (a/N/u)? a

gpg>save

gpg --list-keys
gpg: kontroluji databázi důvěry
gpg: marginals needed: 3  completes needed: 1  trust model: pgp
gpg: hloubka: 0  platných:   1  podepsaných:   0  důvěra: 0-, 0q, 0n, 0m, 0f, 1u
gpg: další kontrola databáze důvěry v 2020-07-03
/home/zdenek/.gnupg/pubring.kbx
-------------------------------
pub   rsa4096 2020-06-03 [SC] [platnost skončí: 2020-07-03]
E267C4466BF47646145B78759FB42FB961DC9D51
uid       [  absolutní ] Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>
uid       [  absolutní ] [jpeg image of size 6347]
sub   rsa4096 2020-06-03 [E] [platnost skončí: 2020-07-03]

Poslání veřejného klíče na server gpg klíčů

gpg --send-keys E267C4466BF47646145B78759FB42FB961DC9D51
gpg: posílám klíč 9FB42FB961DC9D51 na hkps://keys.openpgp.org

Podepsání nějakého veřejného klíče

gpg --sign-key 4608C0CA2C941E8ACA5941D2191B300C733BBEA2

pub  rsa2048/191B300C733BBEA2
vytvořen: 2011-03-03  platnost skončí: nikdy       použití: SCA
důvěra: neznámý formát platnost: neznámý formát
sub  rsa2048/5EC6EECA2E45B28C
vytvořen: 2011-03-03  platnost skončí: nikdy       použití: E  
[  neznámá   ] (1). Info <info@bis.cz>


pub  rsa2048/191B300C733BBEA2
vytvořen: 2011-03-03  platnost skončí: nikdy       použití: SCA
důvěra: neznámý formát platnost: neznámý formát
Otisk primárního klíče: 4608 C0CA 2C94 1E8A CA59  41D2 191B 300C 733B BEA2

Info <info@bis.cz>

Jste si jistý(á), že chcete podepsat tento klíč
svým klíčem „Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>“ (9FB42FB961DC9D51)

Skutečně podepsat? (a/N) a

Kontrola podpisů veřejných klíčů

gpg --check-signatures
/home/zdenek/.gnupg/pubring.kbx
-------------------------------
pub   rsa4096 2020-06-03 [SC] [platnost skončí: 2020-07-03]
E267C4466BF47646145B78759FB42FB961DC9D51
uid       [  absolutní ] Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>
sig!3        9FB42FB961DC9D51 2020-06-03  Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>
uid       [  absolutní ] [jpeg image of size 6347]
sig!3        9FB42FB961DC9D51 2020-06-03  Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>
sub   rsa4096 2020-06-03 [E] [platnost skončí: 2020-07-03]
sig!         9FB42FB961DC9D51 2020-06-03  Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>

pub   rsa2048 2011-03-03 [SCA]
4608C0CA2C941E8ACA5941D2191B300C733BBEA2
uid       [    plná    ] Info <info@bis.cz>
sig!3        191B300C733BBEA2 2011-03-03  Info <info@bis.cz>
sig!         9FB42FB961DC9D51 2020-06-03  Jan Hus (Na Chmelnici 1864, UHERSKÝ BROD, ČOP:123456789) <janhus@seznam.cz>
sub   rsa2048 2011-03-03 [E]
sig!         191B300C733BBEA2 2011-03-03  Info <info@bis.cz>

gpg: 6 dobrých podpisů

TOFU - Trust On First Use – důvěřuj při prvním užití

V roce 2015 byl program gpg rozšířen o tento model.
Princip je jednoduchý – když přijde první podepsaná zpráva z nějaké e-mailové adresy, tak se z veřejného klíčového serveru stáhne klíč a označí jako částečně platný – je přidána nová úroveň platnosti. U několika následných použití uvedeného klíče (ověření podpisu či zašifrování pro dotyčného) se zobrazuje upozornění There is limited assurance this key belongs to the named user. Poté se stane plně platným.

Grafické nadstavby GnuPG

1. ENIGMAIL - vynikající doplněk poštovního klienta THUNDERBIRD - thunderbird už ho nepotřebuje
2. GPA - výborné grafické rozhraní, frontend gpg
3. KLEOPATRA - GUI pro GnuGPG, s GPA součásti gpg4win pro Windows
4. GpgFrontend - podobné jako Kleopatra a GPA pro Linux
5. GEANY - doplněk geanyPG umožnuje zašifrovat a podepsat text a dešifrovat/ověřit text, nic víc a proto bezpečný i pro začátečníky
6. K-9 mail + OpenKeychain - použití bezpečné emailové komunikace na mobilech (na androidu lze stáhnout z google play úložiště)

Články:

• linuxexpres - GPG
• Wikipedie
• Bezpečnost emailů
• bis.vse.cz

---