アプライアンスのインストール プロセスの一環として、GPG 公開キーを追加しようとしています。管理者が管理ポータルを使用して自分のローカルにそれらをプルする前に、ログなどの重要なファイルを暗号化し、秘密鍵を使用してそれらを復号化することを目的としています。計画では、公開鍵をファイルにエクスポートし、アプライアンスのインストール プロセスで gpg --import コマンドを使用してそれをインポートします。しかし、暗号化を行う前に、キーを信頼/署名する必要があることに気付きました。インストール時に人間の介入なしでこのキーを信頼できるようにする方法は? ところで、アプライアンスの OS は ubuntu vm で、キックスタートを使用して自動化しています。
すべての助けに感謝します。
あなたの質問は本当に「キーが信頼されていないという事実にgpgが吠えることなく、キーに暗号化するにはどうすればよいですか?」です。
1 つの答えは、キーに署名できることです。
gpg --edit-key YOUR_RECIPIENT
sign
yes
save
もう1つは、gpgに先に進んで信頼するように指示できることです。
gpg --encrypt --recipient YOUR_RECIPIENT --trust-model always YOUR_FILE
偶然にも、OPと同様の状況があります-公開/秘密鍵を使用して、さまざまな組み込みデバイスのファームウェアに署名および暗号化しようとしています。既にインポートしたキーに信頼を追加する方法を示す回答はまだないため、ここに私の回答があります。
テスト マシンでキーを作成してテストした後、キーを ascii としてエクスポートしました。
$ gpg --export -a <hex_key_id> > public_key.asc
$ gpg --export-secret-keys -a <hex_key_id> > private_key.asc
次に、それらをセキュア コピーしてビルド サーバーにインポートします。
$ gpg --import public_key.asc
$ gpg --import private_key.asc
キーを編集して、究極の信頼を追加します。
$ gpg --edit-key <user@here.com>
gpg>プロンプトで、と入力し、最終的な信頼をtrust入力してから、確認のために と入力します。5yquit
テストファイルでテストします。
$ gpg --sign --encrypt --yes --batch --status-fd 1 --recipient "recipient" --output testfile.gpg testfile.txt
報告する
...
[GNUPG:] END_ENCRYPTION
信頼を追加しないと、さまざまなエラーが発生します (以下に限定されません)。
gpg: There is no assurance this key belongs to the named user
gpg: testfile.bin: sign+encrypt failed: Unusable public key
keyid の置換に追加trusted-key 0x0123456789ABCDEFします。~/.gnupg/gpg.confこれは、このキーを最終的に信頼することと同じです。つまり、このキーによって行われた認証は有効なものとして受け入れられます。このキーを信頼せずに有効としてマークするだけでは難しく、署名が必要になるか、信頼モデルを直接に切り替える必要があります。有効なキーのみをインポートすることが確実な場合は、trust-model always. 後者の場合は、自動キー取得を無効にしてください (デフォルトでは有効になっていません)。
これは、GnuPG キー管理の自動化のために私が考え出したトリックです。ヒントヒアドキュメント +--command-fd 0は魔法のようです。以下は、GnuPG による自動化を支援するために作成されたスクリプトの 1 つの要約版です。
#!/usr/bin/env bash
## First argument should be a file path or key id
Var_gnupg_import_key="${1}"
## Second argument should be an integer
Var_gnupg_import_key_trust="${2:-1}"
## Point to preferred default key server
Var_gnupg_key_server="${3:-hkp://keys.gnupg.net}"
Func_import_gnupg_key_edit_trust(){
_gnupg_import_key="${1:-${Var_gnupg_import_key}}"
gpg --no-tty --command-fd 0 --edit-key ${_gnupg_import_key} <<EOF
trust
${Var_gnupg_import_key_trust}
quit
EOF
}
Func_import_gnupg_key(){
_gnupg_import_key="${1:-${Var_gnupg_import_key}}"
if [ -f "${_gnupg_import_key}" ]; then
echo "# ${0##*/} reports: importing key file [${_gnupg_import_key}]"
gpg --no-tty --command-fd 0 --import ${_gnupg_import_key} <<EOF
trust
${Var_gnupg_import_key_trust}
quit
EOF
else
_grep_string='not found on keyserver'
gpg --dry-run --batch --search-keys ${_gnupg_import_key} --keyserver ${Var_gnupg_key_server} | grep -qE "${_grep_string}"
_exit_status=$?
if [ "${_exit_status}" != "0" ]; then
_key_fingerprint="$(gpg --no-tty --batch --dry-run --search-keys ${_gnupg_import_key} | awk '/key /{print $5}' | tail -n1)"
_key_fingerprint="${_key_fingerprint//,/}"
if [ "${#_key_fingerprint}" != "0" ]; then
echo "# ${0##*/} reports: importing key [${_key_fingerprint}] from keyserver [${Var_gnupg_key_server}]"
gpg --keyserver ${Var_gnupg_key_server} --recv-keys ${_key_fingerprint}
Func_import_gnupg_key_edit_trust "${_gnupg_import_key}"
else
echo "# ${0##*/} reports: error no public key [${_gnupg_import_key}] as file or on key server [${Var_gnupg_key_server}]"
fi
else
echo "# ${0##*/} reports: error no public key [${_gnupg_import_key}] as file or on key server [${Var_gnupg_key_server}]"
fi
fi
}
if [ "${#Var_gnupg_import_key}" != "0" ]; then
Func_import_gnupg_key "${Var_gnupg_import_key}"
else
echo "# ${0##*/} needs a key to import."
exit 1
fi
キーをインポートして実行し、信頼値を割り当てるscript_name.sh 'path/to/key' '1'か、すべての値を編集しますscript_name.sh 'key-id' '1'1script_name.sh 'path/to/key' '1' 'hkp://preferred.key.server'
暗号化に問題はありませんが、問題があったとしても、次の--always-trustオプションを使用すると、問題があっても暗号化が許可されるはずです。
gpg --no-tty --batch --always-trust -e some_file -r some_recipient -o some_file.gpg
この動作を確認したい場合は、Travis-CIのビルド ログと、同じ操作でキーの生成とインポートの両方にヘルパー スクリプトGnuPG_Gen_Key.shがどのように使用されているかを確認してください。このヘルパー スクリプトのバージョン 2 の方がはるかにクリーンです。変更可能ですが、良い出発点です。
私はこれを行う方法を考え出したと思います。「gpg --import-ownertrust」を使用して信頼データベースをテキスト ファイルにエクスポートし、プッシュする必要がある公開キーを除くすべてのキーをそこから削除しました。次に、公開鍵と編集済みの所有者信頼ファイルをサーバーにインポートしました。これは機能しているようです。今、キックスタートファイルでこれらの手順を実装するのに問題があります:-(
--import-ownertrustこのワンライナーは、指紋をフラグで必要な形式に抽出することにより、STDIN からの ownertrust 値で trustdb を更新します。
このフラグは、gpg のマニュアル ページで説明されているように、使用する必要があります。trustdb がひどく損傷している場合、および/または ownertrust 値の最近のバックアップがある場合は、trustdb を再作成することができます。
gpg --list-keys --fingerprint \
| grep ^pub -A 1 \
| tail -1 \
| tr -d ' ' \
| awk 'BEGIN { FS = "\n" } ; { print $1":6:" }' \
| gpg --import-ownertrust