我第一次提到过 PGP,是在 Helm 实践之配置管理 以及 Helm 实践之持续交付 里面,但当时只是提到它可以用来加密我们的配置,但没有拓展它,今天我们来简单拓展下。

简单介绍

菲利普 · 齐默曼(Philip R. Zimmermann)在 1991 年创造了第一个版本的 PGP,其名称 “Pretty Good Privacy”1

显而易见,他发明这东西就是为了对抗政府的监视,一经发出,受到了广泛的欢迎。

由于这个软件是商业应用,无法大面积推广,后来就出现了 OpenPGP,是一个互联网标准,其中,最著名的莫过于 GunPG,也就是我们的主角 gpg(我在刚使用的时候,经常打错成 pgp)。

目前 PGP 的作用挺多,主要在于加解密(邮件内容加密)、数字签名(Ubuntu 的软件分发)等。

安装

1
2
sudo apt-get install gnupg # ubuntu
brew install gpg # mac

或者你可以去官网下载。

使用

管理2

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
# 按照步骤,一步一步设置即可,最后的密码不要设置太简单
gpg --generate-key

# 注意最后生成的 Key ID,在很多命令中需要用到
# 如果不知道,看看已经生成的密钥
gpg --list-keys

# 其中那一长串 fingerprint 就是 key ID 了,可以只取最后 8 位

# 可以导出公钥,armor 表示用 ASCII 编码
gpg --export --armor --output your-name.pub.asc <your-key-id>

# 私钥也可以导出,但是不建议,很容易不小心泄露了
gpg --export-secret-keys --output your-name.pri.asc

# 也可以发送至远程公钥服务器
# 你的朋友们就可以从服务器获取了
# 之后你可能会收到一份验证邮件,来验证你是这个公钥的持有者
# 其它公钥服务器就不一定会验证了
gpg --keyserver hkps://keys.openpgp.org --send-keys <your-key-id>

# 假如你的密钥泄露了,可以撤消它
# 不要以为撤销就是删除,证书只能追加,
# 因此,你需要生成一个撤销证书来追加到之前的证书中去,
# 合并起来的证书就相当于证书被「撤销」了
gpg --gen-revoke <your-key-id> > revoke.asc
gpg --import revoke.asc
gpg --keyserver hkps://keys.openpgp.org --send-keys <your-key-id>

这里需要注意的是,从公钥服务器获取的证书不一定代表本人,我在上面提到的 keys.openpgp.org 也不一定完全值得信任。

但是,PGP 区别于 SSL 证书体系的不同就在于此了:它可以由使用者自行决定是否信任中央证书机构,比如你可以由朋友来当这个背书者,即由你的朋友来对新的公钥进行签名认证,从而信任新添加的证书。

加解密

首先你需要明白,加密是必须指定接收者的,你必须用朋友的公钥来进行加密,同时,你可以对加密内容进行签名,表示这个加密过的信息,是由你写的。

1
2
3
4
5
# 加密,会生成一个 mail.txt.asc 的文件,你就可以直接发送给朋友了
gpg --armor --sign --recipient <your-friend-id> --encrypt mail.txt

# 解密,会看到解密后的内容,以及签名是否正确
gpg --decrypt mail.txt.asc

签名

这是对内容的完整性进行保护了:

1
2
3
4
5
6
7
# 签名有 clearsign 以及 detach-sign,
# 区别在于前者会在签名文件中带有原文件信息,而后者没有
# 生成的文件依然是以 asc 结尾
gpg --armor --detach-sign app.tgz

# 验证
gpg --verify app.tgz.asc

实践

实际使用中,会有其它问题,比如,你如何在脚本中使用呢?

在上面的加密以及签名命令中,你需要用到私钥,因此在 Ubuntu 中你得在弹出的密码框中输入密码,而在脚本中,你是不能这么干的,有其它参数干这个事情。

1
gpg --batch --yes --passphrase <passphrase> --detach-sign --armor app.tgz

其中,--passphrase 可以换成 --passphrase-fd 或者 --passphrase-file,来指定密码输入的方式。

另外,如果你需要直接使用 armor 公钥,一个方式是导入后使用,gpg --import pub.asc,然后对签名进行验证,另一个是需要对公钥的格式进行转换,不然会出错:

1
2
gpg --yes -o pub.gpg --dearmor pub.asc
gpg --trust-model always --no-default-keyring --keyring pub.gpg --verify app.tgz.asc

Ref

  1. PGP
  2. GnuPrivacyGuardHowto

首发于 Github issues: https://github.com/xizhibei/blog/issues/147 ,欢迎 Star 以及 Watch

本文采用 署名-非商业性使用-相同方式共享(BY-NC-SA)进行许可
作者:习之北 (@xizhibei)
原链接:https://blog.xizhibei.me/zh-cn/2020/08/12/privacy-guardian-pgp/