用 PGP 保护代码完整性(三):生成 PGP 子密钥

2024年 7月 18日 90.3k 0

在第三篇文章中,我们将解释如何生成用于日常工作的 PGP 子密钥。

用 PGP 保护代码完整性(三):生成 PGP 子密钥-1

在本系列教程中,我们提供了使用 PGP 的实用指南。在此之前,我们介绍了基本工具和概念,并介绍了如何生成并保护您的主 PGP 密钥。在第三篇文章中,我们将解释如何生成用于日常工作的 PGP 子密钥。

清单

  • 生成 2048 位加密子密钥(必要)
  • 生成 2048 位签名子密钥(必要)
  • 生成一个 2048 位验证子密钥(推荐)
  • 将你的公钥上传到 PGP 密钥服务器(必要)
  • 设置一个刷新的定时任务(必要)
  • 注意事项

    现在我们已经创建了主密钥,让我们创建用于日常工作的密钥。我们创建 2048 位的密钥是因为很多专用硬件(我们稍后会讨论这个)不能处理更长的密钥,但同样也是出于实用的原因。如果我们发现自己处于一个 2048 位 RSA 密钥也不够好的世界,那将是由于计算或数学有了基本突破,因此更长的 4096 位密钥不会产生太大的差别。

    创建子密钥

    要创建子密钥,请运行:

    $ gpg --quick-add-key [fpr] rsa2048 encr
    $ gpg --quick-add-key [fpr] rsa2048 sign
    

    用你密钥的完整指纹替换 [fpr]

    你也可以创建验证密钥,这能让你将你的 PGP 密钥用于 ssh:

    $ gpg --quick-add-key [fpr] rsa2048 auth
    

    你可以使用 gpg --list-key [fpr] 来查看你的密钥信息:

    pub rsa4096 2017-12-06 [C] [expires: 2019-12-06]
     111122223333444455556666AAAABBBBCCCCDDDD
    uid [ultimate] Alice Engineer 
    uid [ultimate] Alice Engineer 
    sub rsa2048 2017-12-06 [E]
    sub rsa2048 2017-12-06 [S]
    

    上传你的公钥到密钥服务器

    你的密钥创建已完成,因此现在需要你将其上传到一个公共密钥服务器,使其他人能更容易找到密钥。 (如果你不打算实际使用你创建的密钥,请跳过这一步,因为这只会在密钥服务器上留下垃圾数据。)

    $ gpg --send-key [fpr]
    

    如果此命令不成功,你可以尝试指定一台密钥服务器以及端口,这很有可能成功:

    $ gpg --keyserver hkp://pgp.mit.edu:80 --send-key [fpr]
    

    大多数密钥服务器彼此进行通信,因此你的密钥信息最终将与所有其他密钥信息同步。

    **关于隐私的注意事项:**密钥服务器是完全公开的,因此在设计上会泄露有关你的潜在敏感信息,例如你的全名、昵称以及个人或工作邮箱地址。如果你签名了其他人的钥匙或某人签名了你的钥匙,那么密钥服务器还会成为你的社交网络的泄密者。一旦这些个人信息发送给密钥服务器,就不可能被编辑或删除。即使你撤销签名或身份,它也不会将你的密钥记录删除,它只会将其标记为已撤消 —— 这甚至会显得更显眼。

    也就是说,如果你参与公共项目的软件开发,以上所有信息都是公开记录,因此通过密钥服务器另外让这些信息可见,不会导致隐私的净损失。

    上传你的公钥到 GitHub

    如果你在开发中使用 GitHub(谁不是呢?),则应按照他们提供的说明上传密钥:

    • 添加 PGP 密钥到你的 GitHub 账户

    要生成适合粘贴的公钥输出,只需运行:

    $ gpg --export --armor [fpr]
    

    设置一个刷新定时任务

    你需要定期刷新你的钥匙环,以获取其他人公钥的最新更改。你可以设置一个定时任务来做到这一点:

    $ crontab -e
    

    在新行中添加以下内容:

    @daily /usr/bin/gpg2 --refresh >/dev/null 2>&1
    

    **注意:**检查你的 gpggpg2 命令的完整路径,如果你的 gpg 是旧式的 GnuPG v.1,请使用 gpg2。

    通过 Linux 基金会和 edX 的免费“Introduction to Linux” 课程了解关于 Linux 的更多信息。

    via: https://www.linux.com/blog/learn/pgp/2018/2/protecting-code-integrity-pgp-part-3-generating-pgp-subkeys

    作者:Konstantin Ryabitsev 译者:geekpi 校对:wxy

    本文由 LCTT 原创编译,Linux中国 荣誉推出

    相关文章

    Linux 命令行的聊天工具 CenterIM
    Linux 桌面年仍未到来 但 Linux 移动之年已到来
    12 个在线学习 Linux 技能网站
    Linux Mint : 会是另一个新的 Ubuntu 吗?
    W3Conf 开发者大会将于下周召开
    Ubuntu 10.04 ARM 处理器上网本版本结束服务期

    发布评论