GNUPG

GNU Privacy Guard

GPG is het OpenPGP¹ onderdeel van de GNU Privacy Guard.

We komen dagelijks in aanraking met cryptografie, ook al beseffen we dat niet altijd, zo gebruiken de meeste chat programma's (WhatsApp, Telegram, …) encryptie om ervoor te zorgen dat buitenstaanders deze gesprekken niet kunnen "afluisteren".

Met een GPG sleutel kun je echter meer doen dan enkel berichten versleutelen, hier zijn enkele voorbeelden.

Bestanden of email berichten versleutelen (encryptie)
Bestanden of email berichten ondertekening (signing)
Authenticatie (inloggen)
git commits ondertekenen zodat mensen weten dat een aanpassing aan de broncode op een git-server (GitHub, GitLab, FSFE Git Service, ...) door jou is gedaan en niet door iemand anders.

Sleutels genereren

De eerste stap de we moeten zetten is het aanmaken van een sleutel-paar (deze bestaat uit 3 onderdelen

signature key (voor handtekeningen te zetten)
encryption key (om bestanden/e-mails te versleutelen)
authentication key (om in te loggen).

Om zo"m sleutel aan te maken gebruiken we het commando $ gpg2 --full-generate-key

Lengte van de sleutel — Figuur 1. $ gpg2 --full-generate-key

Sleutels Exporteren

Hoe krijg je nu jouw publieke sleutel bij andere mensen? Dit doe je door deze te exporteren, hiervoor gebruiken we de optie -A om een ASCII Armour aan te maken.

Het exporteren van de publieke sleutel doe je bijvoorbeeld moet het commando:

gpg2 --export -a 0A5EC130 > patrick.kox@commandoregel.be.pub.asc

gpg2 --export-secret-keys -a 0A5EC130 > patrick.kox@commandoregel.be.sec.asc — Figuur 8. gpg2 --export -a 0A5EC130 > patrick.kox@commandoregel.be.pub.asc

Bij het exporteren van een geheime sleutel moet je ook een wachtzin ingeven, deze moet je dan later ingeven als je de privé/geheime sleutel op een andere computer wil importeren.

De geheime sleutel ziet ze hetzelfde uit als een publieke sleutel

De geheime sleutel bewaar je best op een veilig plaats, ende publieke sleutel kun je ofwel zelf verspreiden onder je vrienden en familie of je kunt deze uploaden naar een keyserver vanwaar iedereen deze kan downloaden.

Dit is een persoonlijke keuze, zelf staat mijn echte publieke sleutel op deze website en kun je hier vinden: https://www.commandoregel.be/patrick.kox@commandoregel.be.pub.asc

Een sleutel stuur je naar de standaard key-server met het commando gpg --send-key 0A5EC130

Sleutels importeren

Om te controleren of een handtekening authentiek is heb je de publieke sleutel van deze persoon nodig. Je kunt deze importeren van een key-server als deze beschikbaar is, of manueel het .asc bestand importeren als men het je heeft gegeven.

Eerst via de key-server:

gpg2 --receive-key 668371ED140FCE295EECE025A2B2E77B4966525D

gpg2 --import patrick.kox@commandoregel.be.pub.asc — Figuur 11. gpg2 --receive-key 668371ED140FCE295EECE025A2B2E77B4966525D

Sleutel eigenaar vertrouwen

Je kunt voor iedere sleutel die je krijgt aangeven dat je deze vertrouwd en tot welk niveau je dat doet, aan de hand van dit niveau geef je aan in hoeverre je een handtekening van deze persoon vertrouwd om een andere handtekening te vertrouwen.

Er zijn verschillende niveaus van vertrouwen die je kunt instellen

Unknown : Je weet niet tot hoever je de sleutel kunt vertrouwen
Never : Je vertrouwd deze persoon niet on andere handtekeningen te valideren.
Marginal : Je vertrouwd deze persoon onvoldoende maar als minstens twee anderen die je marginaal vertrouwd dezelfde sleutel ondertekenen wil je aannemen dat de sleutel tot die eigenaar behoort
Full : Je vertrouwd de persoon voldoende om andere sleutels te ondertekenen.
Ultimate : Volledige vertrouwen (dit is meestal het niveau van je eigen sleutels).

Om het niveau van vertrouwen in te stellen moeten we de sleutel bewerken, In het volgende voorbeeld gebruik ik een publieke sleutel van de Debian CDs

gpg2 --edit-key F41D30342F3546695F65C66942468F4009EA8AC3

Stel niveau van vertrouwen in — Figuur 13. gpg2 --edit-key F41D30342F3546695F65C66942468F4009EA8AC3

Sleutels ondertekenen

Om de echtheid van een sleutel te controleren kun je kijken of deze is ondertekend door iemand die je vertrouwd (zie Sleutel eigenaar vertrouwen hierboven) of indien je de sleutel persoonlijk krijgt kun je deze zelf ondertekenen zodat anderen weten dat jij de sleutel vertrouwd.

Om een sleutel te ondertekenen moeten we deze ook bewerken, dus net zoals voor het instellen van de vertrouwen (trust) hierboven gebruik ik weer de Debian CD sleutel.

Sleutels weergeven

Als je wil zien welke sleutels er allemaal aan je sleutelbos hangen kun de deze laten weergeven met gpg2 --list-keys

atrick @ XPS8940 ➜  ~ $ gpg2 --list-keys                                        
gpg: checking the trustdb
gpg: marginals needed: 3  completes needed: 1  trust model: tofu+pgp
gpg: depth: 0  valid:   2  signed:   3  trust: 0-, 0q, 0n, 0m, 0f, 2u
gpg: depth: 1  valid:   3  signed:   0  trust: 0-, 0q, 0n, 0m, 3f, 0u
/home/patrick/.gnupg/pubring.kbx
--------------------------------
pub   rsa2048 2020-09-04 [SC]
      668371ED140FCE295EECE025A2B2E77B4966525D
uid           [ultimate] Patrick Kox (https://www.commandoregel.be) <patrick.kox@commandoregel.be>
sub   rsa2048 2020-09-04 [E]

pub   rsa4096 2009-10-03 [SC]
      10460DAD76165AD81FBC0CE9988021A964E6EA7D
uid           [  full  ] Debian CD signing key <debian-cd@lists.debian.org>

pub   rsa4096 2011-01-05 [SC]
      DF9B9C49EAA9298432589D76DA87E80D6294BE9B
uid           [  full  ] Debian CD signing key <debian-cd@lists.debian.org>
sub   rsa4096 2011-01-05 [E]

pub   rsa4096 2014-04-15 [SC]
      F41D30342F3546695F65C66942468F4009EA8AC3
uid           [  full  ] Debian Testing CDs Automatic Signing Key <debian-cd@lists.debian.org>
sub   rsa4096 2014-04-15 [E]

Hier staan alle sleutels in mijn sleutelbos, mijn eigen publieke sleutel en 3 publieke sleutels van het Debian project. Alle 3 om hun CD/DVD ISO bestanden te ondertekenen.

Encryptie en Decryptie

Nu we een sleutel hebben kunnen we beginnen met het versleutelen (encryptie) en ontcijferen (decryptie) van gegevens. Aangezien je voor emails meestal een GUI programma gebruikt (Evolution of Thunderbird met Enigmail) en niet de commandoregel (tenzij je werkt met mutt off alpine) gaan we ons beperken tot het versleutelen van bestanden.

Het commando om te versleutelen is

gpg2 --encrypt-files -r patrick.kox@commandoregel.be geheime-informatie.pdf

De -r optie geeft de ontvanger recipient) aan, indien je deze niet ingeeft krijg je een melding dat je deze niet hebt gegeven en kun je deze alsnog ingeven.

gpg2 --decrypt-files geheime-informatie.pdf.gpg — Figuur 18. gpg2 --encrypt-files -r patrick.kox@commandoregel.be geheime-informatie.pdf

Hantekening zetten en valideren

We kunnen een versleuteld bestand nog voorzien van een handtekening, of eender ander bestand (bijvoorbeeld een lijst met SHA512SUM hashes).

Een bestand ondertekenen doen we met gpg2 --sign geheime-informatie.pdf

Dit zal een bestand maken met de naam geheime-informatie.pdf. Hoewel dit bestand niet versleuteld is, kun je het niet zomaar openen in een PDF lezer.

Wil je enkel de handtekening valideren, dan gebruik je het commando gpg2 --verify geheime-informatie.pd.gpgf

Figuur 20. gpg2 --verify geheime-informatie.pdf.gpg

Wil je het bestand verifiëren en kunnen openen moet je het eerst "decrypten" met het commando gpg2 --output geheime-informatie.pdf --decrypt geheime-informatie.pdf.gpg Omdat het bestand niet versleuteld is, moet je geen wachtwoord o.i.d. ingeven.

Figuur 21. gpg2 --output geheime-informatie.pdf --decrypt geheime-informatie.pdf.gpg

Als je een bestand wil versleutelen en ondertekenen, dan kun je dit in 2 stappen doen (eerst versleutelen en dan een handtekening zetten bijvoorbeeld) maar dan krijg je een bestand met als naam bijvoorbeeld: geheime-informatie.pdf.gpg.gpg wat niet echt elegant is, je kunt dit dan beter in 1 stap doen met het commando gpg2 --sign --encrypt -r patrick.kox@commandoregel.be geheime-informatie.pdf

Het bestand dat je krijgt heet dan gewoon geheime-informatie.pdf, je kunt dan wel niet de handtekening controleren met gpg2 --output geheime-informatie.pdf --decrypt geheime-informatie.pdf.gpg het bestand zal dan (na ingeven van het wachtwoord/PIN Code) ontsleuteld worden en de handtekening gevalideerd. Hierna kun je het bestand openen in een PDF lezer.

Keyserver

Het kan handig zijn om je publieke sleutels op een keyserver te zetten, zo kunnen anderen gemakkelijk jouw key downloaden om een handtekening te verifiëren.

De keyserver die ik gebruik is de standaard keyserver van Debian : keys.openpgp.org. Indien deze niet is ingesteld kun je dat doen door aan het bestand ~/.gnupg/gpg.conf de volgende regel toe te voegen: keyserver keys.openpgp.org

Uploaden van de sleutel, het uploaden van de sleutel doe je met het commando gpg2 --send-key 9F5DDF922FAAF3EACC2EBAC3BCE5B520E95CCB66 je vervangt het nummer van de sleutel (ook wel de fingerprint genoemd) door die van jouw eigen sleutel (of als je een sleutel van iemand anders hebt ondertekend, door de fingerprint van die sleutel).

Waarschuwing

new key but contains no user ID - skipped

Als je een nieuwe sleutel upload naar keys.openpgp.org dan kunnen anderen deze nog niet onmiddelijk gebruiken. Deze keyserver maakt gebruik van een verificatie systeem waarvoor je 2 verificaties nodig hebt (de server zal hiervoor een email sturen met de instructies).

Doe je dit niet, dan zullen anderen die jouw sleutel willen downloaden een foutmelding krijgen.

Het downloaden van een publieke sleutel doe je met het commando: gpg2 --receive-key 9F5DDF922FAAF3EACC2EBAC3BCE5B520E95CCB66

Dit is de publieke sleutel van ons email adres.

Het resultaat van dat commando zou er als volgt uit moeten zien:

gpg: key BCE5B520E95CCB66: public key "Patrick Kox (https://www.commandoregel.be) <info@commandoregel.be>" imported
                                    gpg: Total number processed: 1
                                    gpg:               imported: 1

en met gpg2 --list-keys ziet dat er als volgt uit:

/home/patrick/.gnupg/pubring.kbx
                                        --------------------------------
                                        pub   rsa4096 2020-10-06 [SC]
                                        9F5DDF922FAAF3EACC2EBAC3BCE5B520E95CCB66
                                        uid           [ unknown] Patrick Kox (https://www.commandoregel.be) <info@commandoregel.be>
                                        sub   rsa4096 2020-10-06 [E]

Je kunt ook kijken wie een sleutel allemaal ondertekend heeft met het commando: gpg2 --list-sig of gpg2 9F5DDF922FAAF3EACC2EBAC3BCE5B520E95CCB66

Dit commando laat alle handtekeningen voor alle sleutels zien, wil je enkel deze informatie voor een bepaalde sleutel zien, dan geeft je aan het einde van het commando de fingerprint van die sleutel:

gpg2 --list-signatures 9F5DDF922FAAF3EACC2EBAC3BCE5B520E95CCB66

De uitvoer kan er dan als volgt uit zien:

pub   rsa4096 2020-10-06 [SC]
      9F5DDF922FAAF3EACC2EBAC3BCE5B520E95CCB66
uid           [ultimate] Patrick Kox (https://www.commandoregel.be) <info@commandoregel.be>
sig 3        BCE5B520E95CCB66 2020-10-06  Patrick Kox (https://www.commandoregel.be) <info@commandoregel.be>
sig          A2B2E77B4966525D 2020-10-06  Patrick Kox (https://www.commandoregel.be) <patrick.kox@commandoregel.be>
sub   rsa4096 2020-10-06 [E]
sig          BCE5B520E95CCB66 2020-10-06  Patrick Kox (https://www.commandoregel.be) <info@commandoregel.be>

SSH Login met GPG Sleutel

Tenslotte kijken we nog naar het inloggen via SSH op een andere computer of een server (GitHub, GitLab, …) door gebruik te maken van een GPG Sleutel op een OpenPGP Smarcard of een YubiKey (off andere "Hardware Token".

Een YubiKey werkt hetzelfde als een openPGP Smarcard dus gaan we ons focussen op zo'n smartcard.

Server

Als je op een server wil laten inloggen met een SSH-Key moet je hier enkele wijzigingen doorvoeren in het configuratiebestand /etc/ssh/sshd_config

je kunt dit bijvoorbeeld doen met sudoedit /etc/ssh/sshd_config

In dit bestand moet je 1 of 2 regels aanpassen:

ChallengeResponseAuthentication yes wordt: ChallengeResponseAuthentication no

en ChallengeResponseAuthentication yes wordt: ChallengeResponseAuthentication no (als dat al niet zo is).

Verder moet je op de server bij de gebruiker onder wiens account je wil kunnen inloggen in de directory ~/.ssh het bestand authorized_keys aanmaken. Hierin plaats je de publieke sleutels van de openPGP smartcard die je wil toegang geven tot het systeem.

Deze key kun je achterhalen door op de computer waarop een smartcard reader is aangesloten met daarin een smartcard. Het commando hiervoor is

ssh-add -L

De uitvoer kan er dan als volgt uitzien³:.

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDuTGxAVarYSBZmka8r+wrx9MABJfsAA4cHDeGwzMM84RZCvGmUdjQ8DtaALkW0YmWKXQRP3HFdmLKjltY2LaeWErkobxFgL2v0WfHgqwKZsPCXiMUyQY+3plNyR9nB6YzbRGPVitMfkW6QLtJj72fwEgLm4Ja+/MISf4Z6Gw+QiqyVFBBC2IewhgmoeGYP4uG6vY1UuGxuwubhQHRyn2Tl5sGHDhYiz4FQozxmtSVCGNjPAtI7R82eBfAlVP261E1pa+Yqo8AO8dULhwRkmcEWNfgeLVSM4Bz+qeslT201pKgKzSplmqagJOLqvhsf6zxhGqhTiD7/4Ma4L77KodXp cardno:000611526534

Dit plaats je in het authorized_keys bestand.

Als je nu de SSH server herstart: sudo systemctl restart sshd (voor systemen met systemD) zou je verbinding moeten kunnen maken met SSH met gebruik van jouw smartcard en de correcte PIN code.

client

Op het systeem waarop je de openPGP Smartcard wil gebruiken moet je enkele extra stappen doorlopen.

Als eerste moeten we enkele extra pakketten installeren. Bij Debian en op Debian gebaseerde distributies (Ubuntu, Linux Mint) doe je dit met het volgende commando

sudo ap install gnupg-agent pcscd libpcsclite1 opensc gpgsm scdaemon scdaemon

Nu moeten we de private key verplaatsen van jouw computer naar de smartcard. (Let op, als je hiermee verder gaat zal de private key van de computer verwijderd worden, je kunt dus best eerst deze exporteren en veilig opbergen).

Begin met het bewerken van de GPG sleutel: gpg --edit-key patrick.kox@commandoregel.be⁴.

Geef het commando: toggle.

Geef het commando: keytocard

Beantwoord de vraag of je de sleutel naar je kaart wil verplaatsen met Y.

Verplaats eerst key nr 3 (Authentication Key) en daarna key nr 1 (Signature Key).

Opmerking: Indien je een melding krijgt dat het een onbruikbare sleutel is, is het mogelijk dat je een te grote sleutel hebt gemaakt voor jouw type smartcard (een 4096 bit sleutel maar een smartcard die een sleutel van maximum 2048 bit opslaan).

Volg de instructies, je zal een wachtwoord en de PIN code van je smartcard moeten ingeven (de Admin PIN, niet die van de gebruiker).

Zoals je ziet kun je enkel sleutels 1 en 3 verplaatsen, niet sleutel 2. Dit komt omdat dit een andere sleutel is, en deze moeten we eerst selecteren.

Geef het commando: key 1

Je zal nu zien dat er een sterretje (*) achter ssb staat, als je nu het commando keytocard ingeeft zul je zien dat je nu enkel key 2 kunt verplaatsen.

Heb je alle sleutels verplaatst geef dan het commando quit en beantwoord de vraag om wijzigingen op te slaan met Y. De geheime sleutels zijn nu verplaatst naar de smartcard en staan niet meer op de computer zelf.

Je kunt controleren of de smartcard correct werkt met het commando gpg2 --card-status en je kunt de kaart bewerken met gpg2 --card-edit.

Als je smartcard correct werkt moet je nog enkele aanpassingen doen aan enkele configuratiebestanden om ervoor te zorgen dat je de openPGP smartcard kunt gebruiken.

Indien ze bestaan verwijder of hernoem de volgende 2 bestanden met de volgende 2 commando's

sudo mv /etc/xdg/autostart/gnome-keyring-ssh.desktop /etc/xdg/autostart/gnome-keyring-ssh.desktop.inactive

sudo mv /etc/xdg/autostart/gnome-keyring-gpg.desktop /etc/xdg/autostart/gnome-keyring-gpg.desktop.inactive

Op mijn systeem bestaat enkel het eerste bestand, en moet ik dus ook maar 1 bestand hernoemen.

Bewerk de volgende bestanden:

~/.gnupg/gpg-agent.conf en voeg de volgende regel toe:
```
enable-ssh-support
```
~/.gnupg/gpg.conf en voeg de volgende regel toe:
```
use-agent
```
/etc/X11/Xsession.options (met sudo) en zet een hekje (#) voor de regel met :
```
use-ssh-agent
```

Start de smartcard daemon met het commando: /usr/lib/gnupg/scdaemon --daemon

log uit en opnieuw in of herstart de computer om de wijzigingen door te voeren. Als alles goed is moet je nu in staat zijn om via SSH in te loggen met je openPGP smartcard en PIN code.

Indien je gebruik maakt van een git service zoals GitLab of GitHub (om er maar twee te noemen) kun je deze SSH sleutel ook toevoegen aan je account (voeg dan zowel de ssh-key voor de smartcard in als de publieke GPG sleutel) zo kun je veilig inloggen bij deze servers én je kunt je commits ondertekenen zodat andere gebruikers zien dat JIJ wijzigingen hebt aangebracht aan een bestand en niet iemand anders.

Dit zijn nog maar enkele dingen die je kunt doen met GPG. Zo is het ook mogelijk om sub-keys te maken, je kunt dan bijvoorbeeld een sub-key maken waarmee je e-mails ondertekend, maar als deze gecompromitteerd is maak je gewoon een nieuwe sub-key en kun je de "master" key blijven gebruiken.

Het is ook een goed idee, om als je een sleutel aanmaakt er ook een "revoke" certificaat bij maakt gpg2 --gen-revoke 9F5DDF922FAAF3EACC2EBAC3BCE5B520E95CCB66 hierbij kun je aangeven waarom je dit doet (bijvoorbeeld, sleutel is gecompromitteerd) en kun je bij verlies of diefstal de sleutel ongeldig verklaren (je maakt dit revoke certificaat best onmiddellijk aan (je hebt er toegang tot je privé sleutel voor nodig) en bewaart deze op een veilige plaats.

Meer informatie kun je altijd terugvinden in de manpages of de infopages

¹ OpenPGP is een open implementatie van PGP of "Pretty Good Privacy".

² Let op, als je deze sleutel later met bijvoorbeeld een "Hardware Token" zoals een YubiKey wil gebruiken is het mogelijk dat deze geen sleutels van 4096 bit kan gebruiken (bepaalde types van YubiKey ondersteunen enkel tot 2048 bit sleutels).

³ Merk op dat er helemaal achteraan staat: cardno:000611526534 dit geeft aan dat het om een openPGP kaart gaat met die serienummer. Als er iets ander staat (bijvoorbeeld patrick@commandoregel) dan gaat het niet om een SSH-Key op een smartcard maar een "gewone" SSH-Key die je hebt aangemaakt met ssh-keygen

⁴ Je kunt zowel het email adres van de sleutel als het nummer van de sleutel gebruiken. Het email adres is meestal gemakkelijker