Tips => Gnupg (3)

3. Verwendung von Gnupg

3.1 Syntax kennenlernen

gpg -h | more oder gpg --help | more

Jetzt sollte das Programm zuerst die Versionsinformationen und dann alle Kommandozeilenoptionen mit der Erklärung auf deutsch ausgeben.

==> "--help"-Ausgabe in Textdatei

gpg -h > c:\gpg_de.txt

schreibt die Ausgabe in die Datei C:\gpg_de.txt.

Mit Hilfe dieser Hilfedatei kann man schon an der Anzahl der Optionen ersehen welche reichhaltigen Möglichkeiten der Benuztung es hier gibt.

3.2 Schlüssel erzeugen

3.2.1 Eigenen Schlüssel erzeugen

Dazu gibt man auf der Kommandozeile folgenden Befehl ein:

gpg --gen-key

Nachdem man die Eingabetaste gedrückt hat erfolgen einige Abfragen (meine Eingaben sind mit rot gekennzeichnet, "=>" = Eingabetaste):

Art des Schlüssels auswählen
Ich lasse es bei der Vorauswahl -> (1) DSA und ElGamal | "=>"
Schlüssellänge auswählen
Ich wähle hier 2048 Bit | 2048; "=>"
Gültigkeitsdauer angeben
Für die ersten Versuche genügt 1 Jahr | 1y; "=>"
Verfallsdatum bestätigen
| j; "=>"
Eingabe des Namens
| Vorname Nachname; "=>"
Eingabe der E-Mail-Adresse
| Vorname.Nachname@my-domain.de; "=>"
Eingabe eines Kommentars
nähere Bezeichnungen oder ähnliches, Verlängern aber die Anzeige, was nicht auf allen Systemen gut rüberkommt, im Zweifelsfall weglassen | "=>"
Korrekturmöglichkeit der Eingaben
Bei Bedarf mit dem jeweiligen Buchstaben den Korrekturbedürftigen Teil auswählen und bearbeiten, sonst mit (F) oder (B) Beenden | F; "=>"
Eingabe der Passphrase
ein kompliziertes aber leicht zu merkendes Passwort eingeben, möglichst mit Sonderzeichen und Groß- und Kleinschreibung, als kleine Hilfe empfiehlt sich ein einprägsamer Satz -> die Anfangsbuchstaben der einzelnen Wörter ergeben das Passwort | Mein Passwort; "=>"
An diesem Punkt erfolgt die Schlüsselerzeugung
|

3.2.2 Widerrufsschlüssel erzeugen

gpg --gen-revoke XYZ > %tmp%\revkey-XYZ.asc # Erzeugen eines Wiederrufschlüssels # für Schlüssel-ID "XYZ" und Export in # eine Textdatei

Dieser wird dazu benötigt, um im Falle der Änderung, des Verlustes oder der Kompromittierung des eigenen privaten Schlüssels den auf den Schlüsselservern veröffentlichten öffentlichen Schlüssel als ungültig zu kennzeichnen. Dieses Verfahren ist notwendig, da das Löschen des Schlüssels vom Schlüsselservers nicht so einfach möglich sein darf. Hier müßten sonst zusätzliche Authentifizierungsmechanismen implementiert werden.

Der Widerrufsschlüssel (Revocation Key) muss jetzt genau so sicher wie der private Schlüssel verwahrt und gegen fremden Zugriff geschützt werden. Ganz wichtig ist hier das Aufschreiben und an sicherem Ort hinterlegen des Passwortes, da ohne dieses kein Widerruf des eigenen Schlüssels möglich ist.

3.3 Schlüssel anzeigen lassen

gpg --list-keys # Anzeigen der öffentlichen # Schlüssel gpg --list-keys teich # Anzeigen aller öffentlichen # Schlüssel mit dem String "teich" gpg --list-secret-keys # Anzeigen der geheimen (privaten) # Schlüssel

Bei der Anzeige der gefundenen Schlüssel steht an dritter Stelle (nach: Art des Schlüssel - "pub"/"sub"; Schlüssellänge) die eindeutige ID des Schlüssels. Diese sollte man sich aufschreiben um z.B. beim Exportbefehl mittels dieser ID den zu exportierenden Schlüssel genau bezeichnen zu können.

3.4 Schlüssel exportieren

3.4.1 Öffentlicher Schlüssel

Zum Exportieren in eine Textdatei muss man die Option --armor benutzen (Reihenfolge der Optionen beachten!, --armor immer zuerst):

gpg --armor --export > %tmp%\pubkeys.asc # Export aller öffentlichen # Schlüssel am eigenen # Schlüsselbund in eine Textdatei gpg --armor --export XYZ > %tmp%\pubkey-XYZ.asc # Export des öffentlichen Schlüssels # mit der Id "XYZ" in eine Textdatei

3.4.2 Privater Schlüssel

Hier muss größte Vorsicht und Sorgfalt walten. Der Zugriff anderer auf diesen privaten Schlüssel (z.B. auf dem Rechner im "TMP"-Verzeichnis vergessen, im Netzlaufwerk nicht sicher gelöscht) schon einen großen Teil der Sicherheit vernichtet, der eigentliche mit der Nutzung von "Gnupg" aufgebaut werden soll. Der "Finder" benötigt nur noch das Passwort und er kann in Ihrem Namen alles verbriefen und bestätigen!!!

gpg --armor --export-secret-keys > %tmp%\seckeys.asc # Export aller privaten # Schlüssel am eigenen # Schlüsselbund in eine Textdatei gpg --armor --export-secret-keys XYZ > %tmp%\seckey-XYZ.asc # Export des privaten Schlüssels # mit der Id "XYZ" in eine Textdatei

3.4.3 Widerrufs-Schlüssel

Es gelten die gleichen Sicherheitshinweise wie für die privaten Schlüssel. Im Fall der Kompromittierung kann jemand anderes Ihren Schlüssel auf den Schlüsselserver widerrufen!!!

Die Syntax wurde weiter oben schon beschrieben.

3.5 Schlüssel importieren

gpg --import %tmp%\seckeys.asc # Import aller Schlüssel aus der Datei # "seckeys.asc" im Verzeichnis "%tmp%"

3.6 Schlüssel signieren

Zum Signieren benutzt man folgende Syntax:

gpg --sign-key XYZ # Signieren des öffentlichen Schlüssels # XYZ mit dem eigenen privaten Schlüssel

Nachdem ein öffentlicher Schlüssel (z.B. des Mitarbeiters) signiert wurde muss er wieder exportiert werden um z.B. auf der Homepage oder woanders als Text-Datei hinterlegt zu werden.

3.7 Schlüssel auf Schlüsselserver übertragen

Aus GPG heraus verwendet man folgenden Befehl:

gpg --send-keys XYZ # Senden des öffentlichen Schlüssels # XYZ an einen Keyserver (der in der gpg.conf # eigetragen ist) gpg --send-keys XYZ --keyserver ABC # Senden des öffentlichen Schlüssels # XYZ an den Keyserver ABC (Angabe hinter der # Option --keyserver)

Die Schlüsselserver haben in der Regel auch ein HTTP-Interface (Aufruf mit Hilfe des Browsers). Hier kann man einen als Textdatei vorliegenden öffentlichen Schlüssel (NIE PRIVATE SCHLÜSSEL AUF SCHLÜSSELSERVER LADEN!!!) per Drag and Drop kopieren, in ein Textfeld einfügen und auf dem Schlüsselserver speichern lassen.

3.8 Vorerst Ende

Zu 95% werden diese Dinge wie auch das Ver- und Entschlüsseln kaum von Hand auf der Kommandozeile erledigt. Dazu benutzt man grafische Frontends oder Plugins für den Mail-Client oder die Dateimanager. Diese werden im nächsten Abschnitt vorgestellt.