5 conseils pour sécuriser votre clé GPG sur les systèmes Linux

Étape 1 : Créer des sous-clés pour chaque fonction GPG

Pour maximiser la sécurité, générez des sous-clés pour des fonctions distinctes liées à vos opérations GPG. Cette approche protège votre clé primaire en minimisant son utilisation.

Commencez par accéder à l’interface de la clé GPG :

gpg --edit-key [[email protected]]

Modifiez les capacités de votre clé primaire pour l’empêcher de signer :

change-usage

Tapez « S » et appuyez sur Enter pour désactiver la signature depuis la clé primaire. Créez ensuite votre sous-clé de signature :

addkey

Sélectionnez l’option « 8 » dans le menu de l’algorithme de clé et appuyez sur Enter, suivi de :

=S

Ensuite, désignez la taille de la clé (4096 bits) et une période de validité raisonnable (par exemple, 1 an).

Enfin, confirmez la création de votre nouvelle sous-clé et répétez ces étapes pour ajouter des sous-clés pour le chiffrement et l’authentification, en vous assurant que chaque capacité dispose de sa sous-clé dédiée.

Conseil de pro : examinez régulièrement vos clés GPG et supprimez celles qui ne sont plus utilisées pour maintenir une approche minimaliste de la sécurité.

Étape 2 : Définissez une date d’expiration pour vos clés

Attribuez des dates d’expiration à votre clé primaire et à ses sous-clés afin de favoriser la validation de votre clé publique par les utilisateurs. Commencez par votre clé primaire :

gpg --edit-key [[email protected]]

Modifier la date d’expiration :

expire

Définissez une période d’expiration appropriée (par exemple, 10 ans pour la clé primaire) et confirmez le mot de passe :

gpg --edit-key [[email protected]] expire

Assurez-vous que les sous-clés ont des délais d’expiration plus courts, expirant généralement plus tôt que la clé primaire (par exemple, 8 mois).

Conseil de pro : les paramètres d’expiration rapide entraîneront des mises à jour régulières, ce qui rendra plus difficile la persistance des clés compromises.

Étape 3 : Enregistrez vos clés GPG dans une clé de sécurité

Utilisez une clé de sécurité matérielle pour stocker vos clés GPG en toute sécurité. Commencez par connecter votre clé de sécurité à votre ordinateur :

gpg --edit-key [[email protected]]

Vérifiez sa détection, puis transférez vos sous-clés vers la clé de sécurité :

key 1

Sélectionnez votre sous-clé et utilisez la commande :

keytocard

Répétez l’opération pour toutes les sous-clés (Signature « S », Authentification « A » et Chiffrement « E ») pour maximiser la sécurité contre le vol de clés.

Conseil de pro : vérifiez toujours que vos clés ont été transférées avec succès vers votre dispositif de sécurité.

Étape 4 : Sauvegardez votre clé privée principale sur papier

Exportez une sauvegarde imprimée de vos clés GPG à l’aide de l’utilitaire Paperkey pour un stockage à long terme. Commencez par installer Paperkey :

sudo apt install paperkey

Videz la version binaire de votre clé GPG et convertissez-la :

gpg --export-secret-keys -o secretkey.gpg YOUR-GPG@EMAIL. ADDRESS

Exécutez Paperkey pour réduire la clé aux informations essentielles :

paperkey --output-file=mysecretkey.txt secretkey.gpg

Imprimez le fichier à l’aide de votre éditeur de texte préféré.

Conseil de pro : sauvegardez vos copies papier dans un endroit sécurisé pour empêcher tout accès non autorisé.

Étape 5 : Supprimez votre clé privée principale du système

Pour une protection supplémentaire, pensez à supprimer votre clé privée principale GPG de votre machine après l’avoir sauvegardée :

gpg --export-secret-keys YOUR-GPG@EMAIL. ADDRESS | gpg --symmetric -o private-key.gpg

Supprimez les données de la clé privée de votre système :

gpg --delete-secret-key YOUR-GPG@EMAIL. ADDRESS

Vérifiez que la clé privée a disparu :

gpg --list-secret-keys

Conseil de pro : supprimez la clé principale uniquement après avoir confirmé la réussite des sauvegardes et des transferts des sous-clés secrètes.

Pourquoi devrais-je utiliser des sous-clés pour GPG ?

À quelle fréquence dois-je changer mes clés GPG ?