Chaves GnuPG | Joenio Marques da Costa

Chaves GnuPG

GnuPG é uma implementação livre do padrão OpenPGP definido pela RFC4880

www.gnupg.org

OpenPGP é um protocolo não-proprietário para comunicação encriptada por email usando chaves públicas criptográficas.

O protocolo OpenPGP define formatos padrão para mensagens encriptadas, assinaturas e certificados para troca de chaves públicas.

www.openpgp.org

fonte: http://www.articpost.com/openpgp-key-email-security

GnuPG criptografa mensagens utilizando a criptografia de chaves assimétricas.

Criptografia assimétrica é uma classe de protocolos de criptografia baseados em algoritmos que requerem duas chaves, uma delas sendo secreta (ou privada) e a outra delas sendo pública.

Cada usuário gera um par de chaves correspondentes: uma pública e uma secreta.
A chave pública é distribuída livremente.
A chave secreta criptografa, descriptografa e assina dados.

PGP keys

!=

SSH keys

fonte: https://www.goanywhere.com/managed-file-transfer/encryption/open-pgp

Quero, #comofaz

apt install gnupg

Criando chaves

gpg --gen-key

Crie sua chave com 2048 bits
Cria uma senha (passphrase) com as seguintes características:
- deve ser longa
- deve ter caracteres especiais
- não deve ser um nome conhecido
- deve ser muito difícil de adivinhar
Não inclua “Comment” em seu User ID

Exportando chaves

gpg -a --export [ID] > [FILENAME]

Importando chaves

gpg --import [FILENAME]

Servidores de chaves

Os grandes servidores sincronizam chaves entre si, exemplos de servidores:

Publicando chave pública

gpg --send-keys [ID]

Importando chaves

gpg --recv-keys [ID]

gpg --search-keys [NAME]

fonte: https://cran.r-project.org/web/packages/gpg/vignettes/intro.html
slides sobre web of trust: http://slides.com/mricon/pgp-web-of-trust

You should only sign a key as being authentic when you are ABSOLUTELY SURE that the key is really authentic!!!. So if you are positive you got the key yourself (like on a key signing party) or you got the key through other means and checked it (for instance by phone) using the fingerprint-mechanism. You should never sign a key based on any assumption.

fonte: https://www.dewinter.com/gnupg_howto/english/GPGMiniHowto-3.html

Assinando chaves

Após importar uma chave para o chaveiro local é possível determinar o grau de confiabilidade que temos no dono dela.

gpg --edit-key [ID]

Exemplo

Você pode dizer que confia plenamente nas chaves que Ana assina. Assim, quando você receber a chave de Beto, que foi assinada por Ana, terá motivos para confiar nessa chave, mesmo não conhecendo Beto.

fonte: http://eriberto.pro.br/wiki/index.php?title=Usando_o_GnuPG

Níveis de confiabilidade

Unknown: Não se sabe como a pessoa em questão procede ao assinar uma chave. Não se deve confiar nas assinaturas dessa pessoa em chaves alheias.
None: Esta pessoa costuma assinar chaves sem certificar-se de que elas realmente são da pessoa que diz possuí-las. Não se deve confiar nas assinaturas dessa pessoa em chaves alheias.
Marginal: Esta pessoa assina chaves de forma correta (faz as verificações físicas necessárias). É possível confiar nessa pessoa, caso seja extremamente necessário.
Full: O usuário conhece muito bem sistemas criptográficos, é extremamente confiável e responsável. É possível pensar em aceitar algo de outras chaves que tenham sido assinadas por essa pessoa.