Ero sivun ”GNU Privacy Guard” versioiden välillä

{{Ohjelma

| nimi=GNU Privacy Guard

| kuvateksti=

| käyttöliittymä=teksti

| kotisivu=[https://gnupg.org/ gnupg.org]

}}

== Salaiset ja julkiset avaimet ==

Kun käyttäjällä on toisen henkilön julkinen avain tämä voi salata viestin (tai tiedoston) siten, että sen avaamiseen tarvitaan vastaanottajan salainen avain. Vastaavasti salaista avainta käyttämällä on mahdollista lisätä viestiin allekirjoitus, jonka aitouden voi tarkistaa julkisella avaimella.

== Käyttö ==

=== Avainparin luominen ===

  $ gpg --gen-key

<pre>

Valitse millaisen avaimen haluat:

</pre>

<pre>

Toista salasana: [tarPEKs1_randoomi15salasana]

</pre>

Näiden tietojen antamisen jälkeen kone luo varsinainen avainparin. Se voi kestää hetken ja jopa pysähtyä hetkeksi, jos tietokoneella ei tehdä muuta, sillä GPG tarvitsee satunnaisdataa riittävän turvallisten avainten luomiseksi. Satunnaisdataa saadaan seuraamalla käyttäjän enemmän tai vähemmän satunnaisia toimintoja koneella. Avainparin luomisen pysähtyessä saat ilmoituksen

Tässä tapauksessa liikuttele hiirtä tai selaa wikiä, jotta satunnaislukugeneraattori sekoittuu tarpeeksi.

<pre>

gpg: key 7AF6D4B4 marked as ultimately trusted

Kumoamistiedoston luomiseen tarvitaan avaimen salainen osa ja sen salasana. Se tehdään komennolla

Esimerkiksi edellä luodulle avaimelle

  -----BEGIN PGP PUBLIC KEY BLOCK-----

  ohjelman versio ja muita tietoja

=== Avainten tuominen ja vieminen ===

Tietyn avaimen julkinen osa voidaan tallentaa tiedostoon komennolla

Valitsin -a ei ole pakollinen, mutta se tallentaa avaimen teksti- eikä binäärimuodossa, jolloin se on selkeämpi lukea ja riski sen korruptoitumiseen on pieni.  

Julkisen avaimen voi julkaista vaikka kotisivullaan tai kantaa USB-tikulla. Avain voidaan myös lähettää julkisille avainpalvelimille, mutta ennen avaimen lähetystä kannattaa harjoitella ensin jonkun aikaa sen käyttöä, sillä avaimen luonnissa tapahtunutta virhettä ei voi korjata sen jälkeen, kun avain on julkistettu avainpalvelimilla. Sen voi julkaisun jälkeen ainoastaan mitätöidä, jos salainen avain on vielä tallessa, tai jos mitätöintitiedosto on muistettu luoda etukäteen ja se on hyvä tallessa. Avaimen julkaiseminen avainpalvelimelle käsitellään myöhemmin tässä artikkelissa.

Oman avaimen sormenjäljen saa selville komennolla

Myös salaisia avaimia voidaan tallentaa tiedostoon. Tällöin käytetään valitsinta <tt>--export-secret-key</tt>:

Salainen avain on syytä tallentaa ulkoiselle medialle (esim. CD-levylle) ja viedä levy paikkaan, josta se ei varmasti joudu vääriin käsiin. Vaikka salaista avainta suojaa avainta luotaessa valittu salasana, tämä suojaus ei ole niin vahva, että se estäisi varmasti salaisen avaimen väärinkäytökset.

=== Viestien salaaminen ja purkaminen ===

Tämän jälkeen viestin salaaminen onnistuu valitsimen <tt>-e</tt> (tai <tt>--encrypt</tt>) avulla:

  $ gpg -e -r 7AF6D4B4 tiedosto

Salattu viesti puretaan vastaavasti valitsimen --decrypt avulla:

=== Allekirjoittaminen ===

  $ gpg --sign tiedosto

  $ gpg -s -u 7AF6D4B4 tiedosto

Tällöin tuloksena on tiedosto <tt>tiedosto.gpg</tt>, jossa on allekirjoitettu viesti ja allekirjoitus pakattuna. Pakkaamattomana tiedosto allekirjoitetaan valitsimella <tt>--clearsign</tt>:

Jolloin tuloksena on tiedosto <tt>tiedosto.sig</tt>, jossa on allekirjoitus pakattuna.

  $ gpg --verify tiedosto

  gpg: Signature made Sun 12 Aug 2007 19:35:07 EEST using DSA key ID 7AF6D4B4

  gpg: Good signature from "Pentti Perussurffaaja (Ensimmäinen GPG-avaimeni) <pera@linux.fi>"

  gpg: BAD signature from "Pentti Perussurffaaja (Ensimmäinen GPG-avaimeni) <pera@linux.fi>"

  $ gpg --verify tiedosto.sig

Jos avain murretaan, salainen avain hukkuu tai avaimen käyttö muuten lopetetaan voidaan avainpalvelimelle lähettää tieto avaimen käytöstä poistamisesta '''vain''' mitätöintitiedoston avulla. Tästä syystä mitätöintitiedosto on tärkeää luoda avainparia luotaessa.

  $ gpg --import avain.revoke

  gpg: key TUNNISTE: "Nimi <osoite>" revocation certificate imported

PGP-avaimella on siis mahdollista allekirjoittaa tiedostoja ja viestejä. Mutta miten vastaanottaja voi luottaa siihen, että allekirjoittaja on oikeasti se, kuka väittää olevansa? Tätä varten PGP-avaimia on mahdollista allekirjoittaa.

<tt>--fingerprint</tt>-valitsimen perään voi laittaa myös hakusanan, esimerkiksi

Sormenjäljen käytön ideana on varmistaa, että allekirjoitettava avain on nimenomaan kyseisen henkilön oikea julkinen avain.

*Tuo henkilön julkinen avain käyttäen joko avainpalvelimia tai lataamalla julkisen avaimen sisältävä tiedosto esim. kyseisen henkilön kotisivuilta

*Avaa avain muokattavaksi komennolla

*Aukeavassa listassa on avaimen tiedot ja tämän jälkeen yksi tai useampi rivi tyyliin

  [ unknown] (1). Käyttäjän Nimi (kommentti) <nowiki><sähköposti></nowiki>

*Kirjoita <tt>n</tt>, jossa n on suluissa oleva numero. Valitse näin uid:t (sähköpostiosoitteet), jotka haluat allekirjoittaa. Enterin painaminen valitsee kaikki uid:t.

*Allekirjoita avain komennolla <tt>sign</tt>.

*Jos tarkistuksen huolellisuutta kysytään, valitse "arkinen" (''casual'') (2).

Avaimen allekirjoitukset näkee komennolla

Lopuksi allekirjoitettu avain voidaan lähettää takaisin sen omistajalle tallentamalla se normaalisti tiedostoon (<tt>gpg --export -a tunniste > tiedostonimi</tt>). Jos joku allekirjoittaa avaimesi, kannattaa se sen jälkeen lähettää avainpalvelimelle tavalliseen tapaan (<tt>gpg --keyserver palvelin --send-keys tunniste</tt>).

== Katso myös ==

*[[Enigmail]] - liitännäinen mm. [[Thunderbird|Mozilla Thunderbirdille]]

==Aiheesta muualla==

*[http://enigmail.mozdev.org/ Enigmail] - GPG-liitännäinen [[Thunderbird]]iin

*[http://www.vim.org/scripts/script.php?script_id=661 gnupg] - GPG-liitännäinen [[Vim]]iin

{{Salausohjelmia}}

[[Luokka:Tietoturva]]

[[Luokka:Salausohjelmat]]