5 najlepszych wskazówek dotyczących zabezpieczania klucza GPG w systemach Linux

Krok 1: Utwórz podklucze dla każdej funkcji GPG

Aby zmaksymalizować bezpieczeństwo, generuj podklucze dla odrębnych funkcji związanych z operacjami GPG. To podejście chroni klucz podstawowy, minimalizując jego użycie.

Zacznij od uzyskania dostępu do interfejsu klucza GPG:

gpg --edit-key [[email protected]]

Zmień możliwości swojego klucza podstawowego, aby uniemożliwić mu podpisanie:

change-usage

Wpisz „S” i naciśnij Enter, aby wyłączyć podpisywanie z klucza podstawowego. Następnie utwórz podklucz podpisywania:

addkey

Wybierz opcję „8” z menu algorytmu klawiszy i naciśnij Enter, a następnie:

=S

Następnie należy określić rozmiar klucza (4096 bitów) i rozsądny okres jego ważności (np.1 rok).

Na koniec potwierdź utworzenie nowego podklucza i powtórz te kroki, aby dodać podklucze do szyfrowania i uwierzytelniania, upewniając się, że każda możliwość ma swój dedykowany podklucz.

Porada: regularnie przeglądaj klucze GPG i usuwaj te, których już nie używasz, aby zachować minimalistyczne podejście do kwestii bezpieczeństwa.

Krok 2: Ustaw datę ważności kluczy

Przypisz daty wygaśnięcia do swojego klucza podstawowego i jego podkluczy, aby ułatwić walidację wśród użytkowników swojego klucza publicznego. Zacznij od swojego klucza podstawowego:

gpg --edit-key [[email protected]]

Zmień datę ważności:

expire

Ustaw odpowiedni okres wygaśnięcia (np.10 lat dla klucza podstawowego) i potwierdź hasło:

gpg --edit-key [[email protected]] expire

Upewnij się, że podklucze mają krótszy czas wygaśnięcia, zwykle krótszy niż klucz podstawowy (np.8 miesięcy).

Wskazówka: szybkie ustawienia wygasania spowodują regularne aktualizacje, dzięki czemu zagrożone klucze będą trudniejsze do utrzymania.

Krok 3: Zapisz klucze GPG w kluczu bezpieczeństwa

Użyj klucza sprzętowego, aby bezpiecznie przechowywać klucze GPG. Zacznij od podłączenia klucza bezpieczeństwa do komputera:

gpg --edit-key [[email protected]]

Sprawdź jego wykrycie, a następnie przenieś swoje podklucze do klucza bezpieczeństwa:

key 1

Wybierz swój podklucz i użyj polecenia:

keytocard

Powtórz tę czynność dla wszystkich podkluczy (Podpis „S”, Uwierzytelnianie „A” i Szyfrowanie „E”), aby zmaksymalizować bezpieczeństwo przed kradzieżą klucza.

Porada: Zawsze sprawdzaj, czy klucze zostały prawidłowo przeniesione do urządzenia zabezpieczającego.

Krok 4: Utwórz kopię zapasową swojego głównego klucza prywatnego na papierze

Eksportuj wydrukowaną kopię zapasową kluczy GPG za pomocą narzędzia Paperkey do długoterminowego przechowywania. Zacznij od zainstalowania Paperkey:

sudo apt install paperkey

Zrzuć wersję binarną swojego klucza GPG i przekonwertuj ją:

gpg --export-secret-keys -o secretkey.gpg YOUR-GPG@EMAIL. ADDRESS

Uruchom Paperkey, aby ograniczyć klucz do najważniejszych informacji:

paperkey --output-file=mysecretkey.txt secretkey.gpg

Wydrukuj plik przy użyciu preferowanego edytora tekstu.

Porada: Utwórz kopię zapasową wersji papierowych i przechowuj ją w bezpiecznym miejscu, aby uniemożliwić do niej dostęp osobom nieupoważnionym.

Krok 5: Usuń swój główny klucz prywatny z systemu

Aby zapewnić dodatkową ochronę, rozważ usunięcie głównego klucza prywatnego GPG z komputera po wykonaniu kopii zapasowej:

gpg --export-secret-keys YOUR-GPG@EMAIL. ADDRESS | gpg --symmetric -o private-key.gpg

Usuń dane klucza prywatnego ze swojego systemu:

gpg --delete-secret-key YOUR-GPG@EMAIL. ADDRESS

Sprawdź, czy klucz prywatny zniknął:

gpg --list-secret-keys

Wskazówka: usuń klucz główny dopiero po potwierdzeniu pomyślnego utworzenia kopii zapasowej i przesłania tajnych podkluczy.

Dlaczego powinienem używać podkluczy dla GPG?

Jak często powinienem zmieniać klucze GPG?