 
1. 简介
 1.1 用途
 1.2 关键字: 
 1.3 相关软件
2. 安装配置
 2.1 文件
 2.2 命令与选项
3. 使用
 3.1 生成密钥和吊销证书
  3.1.1 创建密钥对 Create a key pair
  3.1.2 生成密钥后，您应该做的第一件事就是创建吊销证书
  3.1.3 查看密钥
 3.2 导出导入公钥
  3.2.1 导出您的公钥
  3.2.2 导入公钥 Import a public key
 3.3 使用keyserver密钥服务器
 3.4 Web密钥目录
 3.5 加密和解密
  3.5.1 不对称
  3.5.2. 对称
4 Key维护
 4.1 备份私钥 Backup your private key
 4.2 撤销你的密钥对 Revoke a key
 4.3 编辑 key
 4.4. 删除 key
5 签名
 5.1 创建签名
 5.2. 验证签名: 要验证签名，请使用--verify标志：
6 扩展阅读链接

1. 简介

https://gnupg.org/
GNU隐私卫士
GnuPG是RFC4880（也称为PGP）定义的OpenPGP标准的完整和免费实现。
GnuPG允许您对数据和通信进行加密和签名；它具有通用的密钥管理系统以及用于各种公钥目录的访问模块。GnuPG，也称为GPG，是一种命令行工具，具有易于与其他应用程序集成的功能。有大量的前端应用程序和库。GnuPG还提供对S/MIME和Secure Shell(ssh)的支持。

1.1 用途

创作者使用: 制作签名sign
生成生成密钥(对)和吊销证书; 安全稳妥的保存私钥和吊销证书; 发布公钥(导出公钥文件public.key提供下载; 或者通过keyserver密钥服务器)
创建签名: 软件或文本配套的.sig签名文件提供下载, 使用户能够验证.

大部分普通用户: 验证verify
仅仅使用签名的验证部分, 比如下载某个软件, 用于确定是作者本人发布的.
获取公钥: 下载公钥文件public.key导入; 或者通过keyserver密钥服务器导入
获取签名文件: 下载软件配套的.sig签名文件; 使用命令验证.

敏感文件的加密和解密: encrypt or decrypt

1.2 关键字:

加密: encrypt
解密: decrypt
非对称: Asymmetric
对称: Symmetric
签名: signatures, [*.sig] 任何人都可以获取.
公钥: public key, [public.key], key-id, 密钥ID 任何人都可以获取.
私钥: secret-keys, [privkey.asc] 仅作者本人妥善保管.
吊销证书: revocation certificate [*.asc] 仅作者本人妥善保管.
指纹: fingerprint, 公钥指纹 (指纹是公钥的短形式)

1.3 相关软件

https://wiki.archlinux.org/index.php/List_of_applications/Security#Encryption,_signing,_steganography
https://wiki.archlinux.org/index.php/GnuPG
|| gnupg — The GNU project's complete and free implementation of the OpenPGP standard as defined by RFC4880. Free and Open Source replacement of PGP, mostly used for digital signing of packages.
https://gnupg.org/
|| gpg-crypter — Graphical front-end to GnuPG(GPG) using the GTK3 toolkit and GPGME library.
https://sourceforge.net/projects/gpg-crypter/
|| keybase — Key directory mapping social media identities, with cross platform encrypted chat, cloud storage, and git repositories.
https://keybase.io/
|| kgpg — Simple interface for GnuPG, for KDE.
https://www.kde.org/applications/utilities/kgpg/
|| kleopatra — Certificate Manager and Unified Crypto GUI for KDE. It supports managing X.509 and OpenPGP certificates in the GpgSM keybox and retrieving certificates from LDAP servers.
https://www.kde.org/applications/utilities/kleopatra/
|| minisign — Simple program that only inplements key signing
https://github.com/jedisct1/minisign
|| seahorse — GNOME application for managing encryption keys and passwords in the GNOME Keyring.
https://wiki.gnome.org/Apps/Seahorse
|| scrypt — Command-line encryption utility featuring the memory-hardened scrypt key derivation function.
https://www.tarsnap.com/scrypt.html

2. 安装配置

目录位置
$GNUPGHOME由GnuPG使用指向存储其配置文件的目录。默认情况下$GNUPGHOME未设置，$HOME而是使用your 。因此，您将~/.gnupg在安装后立即找到目录。
要更改默认位置，请以这种方式运行gpg 或设置环境变量。 $ gpg --homedir path/to/fileGNUPGHOME

配置文件
默认配置文件是~/.gnupg/gpg.conf和~/.gnupg/dirmngr.conf。
默认情况下，gnupg目录的权限设置为700，其中包含的文件的权限设置为600。只有目录的所有者才有权读取，写入和访问文件。这是出于安全目的，不应更改。如果此目录或其中的任何文件未遵循此安全措施，则将收到有关不安全文件和主目录权限的警告。

将任何所需的长选项附加到这些文件。不要写两个破折号，而只写选项名称和必需的参数。您将在中找到框架文件/usr/share/doc/gnupg/。如果这些文件在~/.gnupggpg中不存在，则将它们复制到首次运行。其他示例可在#See另请参见中。 https://wiki.archlinux.org/index.php/GnuPG#See_also
此外，pacman使用一组不同的配置文件来进行软件包签名验证。有关详细信息: https://wiki.archlinux.org/index.php/Pacman/Package_signing

2.1 文件

FILES	There are a few configuration files to control certain aspects of gpg's operation. Unless noted, they are expected in the current home directory (see: [option --homedir]).	有一些配置文件可以控制gpg操作的某些方面. 除非另有说明, 否则它们应在当前主目录中(请参阅: [option --homedir]).
gpg.conf	This is the standard configuration file read by gpg on startup. It may contain any valid long option; the leading two dashes may not be entered and the option may not be abbreviated. This default name may be changed on the command line (see: [gpg-option --options]). You should backup this file.	这是gpg在启动时读取的标准配置文件. 它可以包含任何有效的长选项; 前两个破折号可能不会输入, 并且该选项可能不会缩写. 可以在命令行上更改此默认名称(请参阅: [gpg-option –options]). 您应该备份此文件.
	Note that on larger installations, it is useful to put predefined files into the directory ‘/etc/skel/.gnupg’ so that newly created users start up with a working configuration. For existing users a small helper script is provided to create these files (see: [addgnupghome]).	请注意, 在较大的安装中, 将预定义的文件放入目录" /etc/skel/.gnupg”很有用, 以便新创建的用户以有效的配置启动. 对于现有用户, 提供了一个小的帮助程序脚本来创建这些文件(请参阅:[addgnupghome]).
	For internal purposes gpg creates and maintains a few other files; They all live in the current home directory (see: [option --homedir]). Only the gpg program may modify these files.	为了内部目的, gpg创建并维护了一些其他文件; 它们都位于当前主目录中(请参阅: [option --homedir]). 只有gpg程序可以修改这些文件.
~/.gnupg	This is the default home directory which is used if neither the environment variable GNUPGHOME nor the option --homedir is given.	这是默认主目录, 如果既未提供环境变量GNUPGHOME也未提供选项--homedir, 则使用该默认主目录.

~/.gnupg/pubring.gpg	The public keyring. You should backup this file.	公共密钥环. 您应该备份此文件.
~/.gnupg/pubring.gpg.lock	The lock file for the public keyring.	公用密钥环的锁定文件.
~/.gnupg/pubring.kbx	The public keyring using a different format. This file is shared with gpgsm. You should backup this file.	公共密钥环使用其他格式. 该文件与gpgsm共享. 您应该备份此文件.
~/.gnupg/pubring.kbx.lock	The lock file for ‘pubring.kbx’.	" pubring.kbx”的锁定文件.
~/.gnupg/secring.gpg	A secret keyring as used by GnuPG versions before 2.1. It is not used by GnuPG 2.1 and later.	2.1之前的GnuPG版本使用的秘密密钥环. GnuPG 2.1和更高版本不使用它.
~/.gnupg/secring.gpg.lock	The lock file for the secret keyring.	秘密密钥环的锁定文件.
~/.gnupg/.gpg-v21-migrated	File indicating that a migration to GnuPG 2.1 has been done.	表示已完成向GnuPG 2.1的迁移的文件.
~/.gnupg/trustdb.gpg	The trust database. There is no need to backup this file; it is better to backup the ownertrust values (see: [option --export-ownertrust]).	信任数据库. 无需备份此文件. 最好备份ownertrust值(请参阅: [option --export-ownertrust]).
~/.gnupg/trustdb.gpg.lock	The lock file for the trust database.	信任数据库的锁定文件.
~/.gnupg/random_seed	A file used to preserve the state of the internal random pool.	用于保留内部随机池状态的文件.
~/.gnupg/openpgp-revocs.d/	This is the directory where gpg stores pre-generated revocation certificates. The file name corresponds to the OpenPGP fingerprint of the respective key. It is suggested to backup those certificates and if the primary private key is not stored on the disk to move them to an external storage device. Anyone who can access theses files is able to revoke the corresponding key. You may want to print them out. You should backup all files in this directory and take care to keep this backup closed away.	这是gpg存储预先生成的吊销证书的目录. 文件名对应于相应密钥的OpenPGP指纹. 建议备份这些证书, 如果主私钥未存储在磁盘上, 则将其移至外部存储设备. 任何可以访问这些文件的人都可以撤消相应的密钥. 您可能需要将它们打印出来. 您应该备份此目录中的所有文件, 并注意不要关闭此备份.

	Operation is further controlled by a few environment variables:	操作由一些环境变量进一步控制:
HOME	Used to locate the default home directory.	用于查找默认主目录.
GNUPGHOME	If set directory used instead of "~/.gnupg".	如果使用设置目录而不是"〜/.gnupg”.
GPG_AGENT_INFO	This variable is obsolete; it was used by GnuPG versions before 2.1.	该变量已过时; 2.1之前的GnuPG版本使用了它.
PINENTRY_USER_DATA	This value is passed via gpg-agent to pinentry. It is useful to convey extra information to a custom pinentry.	该值通过gpg-agent传递给pinentry. 将额外的信息传达给自定义的收藏夹很有用.
COLUMNS	LINES Used to size some displays to the full size of the screen.	线用于将某些显示器的尺寸调整为屏幕的整个尺寸.
LANGUAGE	Apart from its use by GNU, it is used in the W32 version to override the language selection done through the Registry. If used and set to a valid and available language name (langid), the file with the translation is loaded from gpgdir/gnupg.nls/langid.mo. Here gpgdir is the directory out of which the gpg binary has been loaded. If it can't be loaded the Registry is tried and as last resort the native Windows locale system is used.	除了GNU所使用, 它还用于W32版本中, 以覆盖通过注册表进行的语言选择. 如果使用并设置为有效和可用的语言名称(langid), 则从gpgdir/gnupg.nls/langid.mo加载包含翻译的文件. 这里的gpgdir是gpg二进制文件已从其中加载的目录. 如果无法加载, 请尝试使用注册表, 并且作为最后的选择, 使用本机Windows语言环境系统.
	When calling the gpg-agent component gpg sends a set of environment variables to gpg-agent. The names of these variables can be listed using the command:	调用gpg-agent组件时, gpg会向gpg-agent发送一组环境变量. 可以使用以下命令列出这些变量的名称:
	gpg-connect-agent 'getinfo std_env_names' /bye \| awk '$1=="D" {print $2}'

2.2 命令与选项

签名与验证

-s, --sign	make a signature	签名
--clear-sign	make a clear text signature	做出清晰的文字签名
-b, --detach-sign	make a detached signature	做一个独立的签名
--verify	verify a signature	验证签名

加密与解密

-e, --encrypt	encrypt data	加密数据
-c, --symmetric	encryption only with symmetric cipher	仅使用对称密码加密
-d, --decrypt	decrypt data (default)	解密数据（默认）

密钥命令

-k, --list-keys	list keys	清单键
--list-signatures	list keys and signatures	列出密钥和签名
--check-signatures	list and check key signatures	列出并检查密钥签名
--fingerprint	list keys and fingerprints	列出按键和指纹
-K, --list-secret-keys	list secret keys	列出密钥
--generate-key --quick-generate-key	generate a new key pair Quickly	生成一个新的密钥对快速生成
--full-generate-key	full featured key pair generation	全功能密钥对生成
--generate-revocation	generate a revocation certificate	生成吊销证书
--delete-keys	remove keys from the public keyring	从公共密钥环中删除密钥
--delete-secret-keys	remove keys from the secret keyring	从秘密密钥环中删除密钥
--sign-key --quick-sign-key	sign a key Quickly	签名钥匙快速签名
--lsign-key --quick-lsign-key	sign a key locally Quickly	在本地签名密钥快速在本地签名
--edit-key	sign or edit a key	签名或编辑密钥, 操作项目输入help
--change-passphrase	change a passphrase	更改密码
--quick-revoke-uid	quickly revoke a user-id	快速撤消用户ID
--quick-set-expire	quickly set a new expiration date	快速设置新的到期日期
--quick-add-uid	quickly add a new user-id	快速添加新的用户ID
--export	export keys	导出密钥
--import	import/merge keys	导入/合并键
--send-keys	export keys to a keyserver	将密钥导出到密钥服务器
--receive-keys	import keys from a keyserver	从密钥服务器导入密钥
--search-keys	search for keys on a keyserver	在密钥服务器上搜索密钥
--refresh-keys	update all keys from a keyserver	更新密钥服务器中的所有密钥

其他命令

--card-status	print the card status	打印卡状态
--edit-card	change data on a card	更改卡上的数据
--change-pin	change a card's PIN	更改卡的PIN码
--update-trustdb	update the trust database	更新信任数据库
--print-md	print message digests	打印消息摘要
--server	run in server mode	在服务器模式下运行
--tofu-policy VALUE	set the TOFU policy for a key	为钥匙设置豆腐政策

公用选项

-a, --armor	create ascii armored output	创建ascii装甲输出
-r, --recipient USER-ID	encrypt for USER-ID	加密USER-ID
-u, --local-user USER-ID	use USER-ID to sign or decrypt	使用USER-ID签名或解密
-z N	set compress level to N (0 disables)	将压缩级别设置为N（0禁用）
--textmode	use canonical text mode	使用规范文本模式
-o, --output FILE	write output to FILE	将输出写入FILE
-v, --verbose	verbose	冗长的
-n, --dry-run	do not make any changes	不要做任何改变
-i, --interactive	prompt before overwriting	覆盖前提示
--openpgp	use strict OpenPGP behavior	使用严格的OpenPGP行为

几个例子

-se -r Bob [file]	sign and encrypt for user Bob	为用户Bob签名并加密
--clear-sign [file]	make a clear text signature	做出清晰的文字签名
--detach-sign [file]	make a detached signature	做一个独立的签名
--list-keys [names]	show keys	显示键
--fingerprint [names]	show fingerprints	显示指纹
gpg -sb file	make a detached signature	生成独立签名
gpg -u 0x12345678 -sb file	make a detached signature with the key 0x12345678	使用密钥0x12345678进行独立签名
gpg --verify pgpfile
gpg --verify sigfile [datafile]	Verify the signature of the file but do not output the data unless requested.	验证文件签名，但除非要求，否则不输出数据。
The second form is used for detached signatures, where sigfile is the detached signature (either ASCII armored or binary) and datafile are the signed data; if this is not given, the name of the file holding the signed data is constructed by cutting off the extension (".asc" or ".sig") of sigfile or by asking the user for the filename.		第二种形式用于分离的签名，其中sigfile是分离的签名（ASCII铠装或二进制），而datafile是签名的数据；如果未指定，则通过截取sigfile的扩展名（“ .asc”或“ .sig”）或向用户询问文件名来构造包含签名数据的文件的名称。
If the option --output is also used the signed data is written to the file specified by that option; use - to write the signed data to stdout.		如果还使用了--output选项，则将签名数据写入该选项指定的文件；使用-将签名的数据写入stdout。

$ gpg --edit-key tom@tom.tom
gpg> help

quit	quit this menu	退出此菜单
save	save and quit	保存并退出
help	show this help	显示此帮助
fpr	show key fingerprint	显示钥匙指纹
grip	show the keygrip	显示按键
list	list key and user IDs	列出密钥和用户ID
uid	select user ID N	选择用户ID N
key	select subkey N	选择子项N
check	check signatures	检查签名
sign	sign selected user IDs [* see below for related commands]	对选定的用户ID签名[*参见以下相关命令]
lsign	sign selected user IDs locally	在本地签名所选的用户ID
tsign	sign selected user IDs with a trust signature	使用信任签名对选定的用户ID进行签名
nrsign	sign selected user IDs with a non-revocable signature	使用不可撤消的签名对选定的用户ID进行签名
adduid	add a user ID	添加用户ID
addphoto	add a photo ID	添加照片ID (必须为jpg, 建议240x288, 提示时输入图像的完整路径)
deluid	delete selected user IDs	删除所选的用户ID
addkey	add a subkey	添加一个子项
addcardkey	add a key to a smartcard	向智能卡添加密钥
keytocard	move a key to a smartcard	将密钥移至智能卡
bkuptocard	move a backup key to a smartcard	将备份密钥移到智能卡
delkey	delete selected subkeys	删除选定的子项
addrevoker	add a revocation key	添加撤销密钥
delsig	delete signatures from the selected user IDs	从选定的用户标识中删除签名
expire	change the expiration date for the key or selected subkeys	更改密钥或选定的子密钥的到期日期
primary	flag the selected user ID as primary	将所选的用户ID标记为主要
pref	list preferences (expert)	列出首选项（专家）
showpref	list preferences (verbose)	列表首选项（详细）
setpref	set preference list for the selected user IDs	设置所选用户标识的首选项列表
keyserver	set the preferred keyserver URL for the selected user IDs	为选定的用户ID设置首选的密钥服务器URL
notation	set a notation for the selected user IDs	为所选的用户ID设置符号
passwd	change the passphrase	更改密码
trust	change the ownertrust	改变所有者的信任
revsig	revoke signatures on the selected user IDs	撤销所选用户标识上的签名
revuid	revoke selected user IDs	撤销选定的用户ID
revkey	revoke key or selected subkeys	撤销键或选定的子键
enable	enable key	启用密钥
disable	disable key	禁用键
showphoto	show selected photo IDs	显示所选的照片ID
clean	compact unusable user IDs and remove unusable signatures from key	压缩无法使用的用户ID并从密钥中删除无法使用的签名
minimize	compact unusable user IDs and remove all signatures from key	压缩无法使用的用户ID并从密钥中删除所有签名

3. 使用

注意：每当命令中需要用户ID时，都可以使用您的密钥ID(key ID), 指纹(fingerprint), 名称的一部分或电子邮件地址等来指定它。GnuPG对此很灵活。

3.1 生成密钥和吊销证书

3.1.1 创建密钥对 Create a key pair

$ gpg --full-gen-key
提示：使用--expert选项可获取ECC等替代密码。

该命令将提示您回答几个问题。
1 选择key类型? 下面是本地的显示的菜单(gnupg 2.2.20-4)
(1) RSA and RSA (default)
(2) DSA and Elgamal
(3) DSA (sign only)
(4) RSA (sign only)
(14) Existing key from card
2 key大小(默认2048),对于大部分用户足够了. 较大的密钥大小4096“几乎没有给我们带来任何好处，同时又使我们付出了很多代价”。
3 到期日expiration date。对于普通用户来说，一年的时间就足够了。这样，即使丢失了对密钥环的访问，也将使其他人知道它不再有效。以后，如有必要，可以延长到期日期，而不必重新发出新密钥。
4 用户名: name and email 您的姓名和电子邮件地址。您可以稍后在同一密钥中添加多个身份（例如，如果您有多个电子邮件地址要与该密钥相关联）。
"tom c (tom) <tom@tom.tom>"
Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? o
5 secure passphrase: 安全的密码短语, 就是密码.
注意：导入密钥的任何人都会看到您在此处输入的名称和电子邮件地址。

快速创建密钥对
$ gpg --quick-generate-key tom@tom.tom
About to create a key for:
"tom@tom.tom"
Continue? (Y/n) y
We need to generate a lot of random bytes.
It is a good idea to perform some other action (type on the keyboard, move the mouse, utilize the disks) during the prime generation; this gives the random number generator a better chance to gain enough entropy.
gpg: key C1B63A41D1D61D69 marked as ultimately trusted
gpg: revocation certificate stored as '/home/toma/.gnupg/openpgp-revocs.d/EA0648C71CB9EFF989807DB4C1B63A41D1D61D69.rev'
public and secret key created and signed.

pub rsa2048 2020-07-14 [SC] [expires: 2022-07-14]
EA0648C71CB9EFF989807DB4C1B63A41D1D61D69
uid tom@tom.tom
sub rsa2048 2020-07-14 [E]

3.1.2 生成密钥后，您应该做的第一件事就是创建吊销证书

After generating your key, one of the first things you should do is create a revocation certificate:
$ gpg --gen-revoke --armor --output=revocation_certificate.asc user-id
- revocation_certificate.asc 证书名称
- user-id 通常是创建密钥的邮箱

$ gpg --gen-revoke --armor --output=tomkey.rec.asc tom@tom.tom
$ ls -la tomkey.rec*
-rw------- 1 toma users 560 Jul 14 09:28 tomkey.rec.asc
备注: 回头看上一步骤的输出, 已经有吊销凭证了, 保存在默认的隐藏目录下. 这个步骤应该是针对老版本gnupg的.
当你的密钥丢失或遭到破坏，则可以用该证书撤销您的密钥。
警告：有权撤消证书的任何人都可以撤消您的密钥。保护您的吊销证书就像保护密钥一样。打印出来，将其保存在磁盘上，然后安全地存储。它足够短，只要您将其打印出来，就可以不费力地手动输入。

3.1.3 查看密钥

要列出您的公共钥匙圈中的钥匙：To list keys in your public key ring:
$ gpg --list-keys
/home/toma/.gnupg/pubring.kbx
-----------------------------
pub rsa4096 2018-05-28 [C] [expires: 2022-01-01]
EF9538C9E8E64311A52CDEDFA13D0EF1914E7A72
uid [ unknown] Gentoo repository mirrors (automated git signing key) <repomirrorci@gentoo.org>
sub rsa2048 2018-05-28 [S] [expires: 2022-01-01]

pub dsa1024 2004-07-20 [SC] [expired: 2020-07-01]
D99EAC7379A850BCE47DA5F29E6438C817072058
uid [ expired] Gentoo Linux Release Engineering (Gentoo Linux Release Signing Key) <releng@gentoo.org>

pub rsa2048 2020-07-14 [SC] [expires: 2022-07-14]
EA0648C71CB9EFF989807DB4C1B63A41D1D61D69
uid [ultimate] tom@tom.tom
sub rsa2048 2020-07-14 [E]

要列出您的秘密钥匙圈中的钥匙：To list keys in your secret key ring:
$ gpg --list-secret-keys
/home/toma/.gnupg/pubring.kbx
-----------------------------
sec rsa2048 2020-07-14 [SC] [expires: 2022-07-14]
EA0648C71CB9EFF989807DB4C1B63A41D1D61D69
uid [ultimate] tom@tom.tom
ssb rsa2048 2020-07-14 [E]

$ gpg --list-secret-keys
/home/toma/.gnupg/pubring.kbx
-----------------------------
sec rsa2048 2020-07-14 [SC] [revoked: 2020-07-14]
9B46F40E617AD230C570299C4420FD48AE9B2D38
uid [ revoked] tom c (tom) <tom@tom.tom>

3.2 导出导入公钥

3.2.1 导出您的公钥

gpg的主要用途是通过公钥(public-key)加密来确保交换消息的机密性。有了它，每个用户都可以分发其密钥环的公钥，其他人可以使用它来加密发送给用户的消息。私钥(private key)必须始终保持私密，否则会破坏机密性。有关消息交换的示例，请参见w：公钥加密。
https://en.wikipedia.org/wiki/Public-key_cryptography
因此，为了使其他人向您发送加密的消息，他们需要您的公共密钥。
生成用户公钥的ASCII版本文件public.key（例如，通过电子邮件分发或提供下载）：
$ gpg --output public.key --armor --export user-id
- public.key 公钥文件名
- user-id 通常是邮件地址
$ gpg --output tom-public.key --armor --export tom@tom.com
$ ls -la *.key
-rw-r--r-- 1 toma users 1749 Jul 14 09:54 tom-public.key
提示：添加--no-emit-version以避免打印版本号，或将相应的设置添加到配置文件。

3.2.2 导入公钥 Import a public key

$ gpg --import public.key (public.key 公钥文件名)

3.3 使用keyserver密钥服务器

您可以在公共PGP密钥服务器上注册key，以便其他人无需直接与您联系即可检索您的key:
$ gpg --send-keys key-id (key-id 就是公钥 public key)
警告：密钥一旦提交给密钥服务器，就无法从服务器中删除。
提示：您可以通过以下方式访问key-id: $ gpg --list-secret-keys --keyid-format=LONG <email>. key-id 密钥ID是sec行中提供的哈希密钥。

要在密钥服务器上查找key的详细信息而不导入它，请执行以下操作:
$ gpg --search-keys user-id (user-id 通常是email)

要从密钥服务器导入key：
$ gpg --recv-keys key-id (key-id 就是公钥 public key)

警告：
您应通过将检索到的公钥的指纹与所有者在独立来源上发布的指纹进行比较（例如，直接与该人联系），来验证其真实性。有关更多信息，请参见Wikipedia：公钥指纹。
https://en.wikipedia.org/wiki/Public_key_fingerprint
使用短ID可能会遇到冲突。将导入所有具有短ID的密钥。为了避免这种情况，请在接收密钥时使用完整的指纹或长密钥ID。use the full fingerprint or long key ID when receiving a key.

3.4 Web密钥目录

Web密钥服务（WKS）协议是密钥分发的新标准，其中电子邮件域提供了自己的称为Web密钥目录（WKD）的密钥服务器。
当加密到电子邮件地址（例如user@example.com）时，GnuPG（> = 2.1.16）将example.com通过HTTPS 向域（）查询公开的OpenPGP密钥（如果尚未在本地密钥环中）。
请注意，该选项auto-key-locate必须包含wkd（默认值）。
# gpg --recipient user@example.org --auto-key-locate local,wkd --encrypt doc
- user@example.org
- doc
请参阅GnuPG Wiki，以获取支持WKD的电子邮件提供商的列表。如果您自己控制电子邮件地址的域，则可以按照本指南为您的域启用WKD。要检查是否可以在WKD中找到您的密钥，可以使用此Web界面。

3.5 加密和解密

3.5.1 不对称

您需要＃导入用户的公共密钥，然后再将文件或消息加密（选项--encrypt或-e）到该收件人（选项--recipient或-r）。此外，如果尚未创建密钥对，则需要#Create。
- user-id 通常是公钥的邮件地址
- doc 要加密的原始文件名
- doc.gpg 已加密的加密文件名
要加密名称为doc的文件，请使用：
$ gpg --recipient user-id --encrypt doc
要解密（选项--decrypt或-d）使用公开密钥加密的名称为doc.gpg 的文件，请使用：
$ gpg --output doc --decrypt doc.gpg
gpg会提示您输入密码，然后解密并将数据从doc .gpg写入doc。如果省略-o（--output）选项，则gpg会将解密后的数据写入stdout。

技巧:
添加--armor以使用ASCII装甲加密文件（适用于以文本格式复制和粘贴消息）
使用或代替不将收件人密钥ID放入加密的消息中。这有助于隐藏消息的接收者，并且是针对流量分析的有限对策。-R user-id--hidden-recipient user-id-r
添加--no-emit-version以避免打印版本号，或将相应的设置添加到您的配置文件。
您可以使用gnupg通过将您自己的用户ID用作接收者或通过使用--default-recipient-self标志来加密敏感文档。但是，尽管您总是可以对各种文件进行压缩，然后再对其进行加密，但一次只能处理一个文件。如果要加密目录或整个文件系统，请参阅静态数据加密＃可用方法。

3.5.2 对称

对称加密不需要生成密钥对，并且可以用来简单地用密码对数据加密。只需使用--symmetric或-c执行对称加密：
$ gpg -c doc
下面的例子：
加密doc使用密码与对称密码
使用AES-256密码算法加密密码短语
使用SHA-512摘要算法来处理密码短语
破坏密码短语以进行65536次迭代
$ gpg -c --s2k-cipher-algo AES256 --s2k-digest-algo SHA512 --s2k-count 65536 doc

要doc.gpg使用密码短语解密对称加密并将解密后的内容输出到同一目录中，doc请执行以下操作：
$ gpg --output doc --decrypt doc.gpg

4. Key维护

4.1 备份私钥 Backup your private key

$ gpg --export-secret-keys --armor <user-id> > privkey.asc
$ gpg --export-secret-keys --armor tom@tom.tom > tom-privkey.asc
$ ls -la *.asc
-rw-r--r-- 1 toma users 3612 Jul 14 15:01 tom-privkey.asc

To import the backup of your private key:
$ gpg --import privkey.asc

4.2 撤销你的密钥对 Revoke a key

If you lose your secret key or it is compromised, you will want to revoke your key by first importing your public key if you not longer have access to the keypair. Then, you will import your revocation certificate:

$ gpg --import revocation_certificate.asc
You now need to make your now-revoked key public. If you used a keyserver, send the key to the keyserver. Otherwise, distribute the revoked key to your colleagues.

或者通过编辑
$ gpg --edit-key tom@tom.tom
...
gpg> revkey
...
[ revoked] (1). tom@tom.tom
gpg> quit
Save changes? (y/N) y

$ gpg --list-secret-keys
gpg: checking the trustdb
gpg: marginals needed: 3 completes needed: 1 trust model: pgp
gpg: depth: 0 valid: 1 signed: 0 trust: 0-, 0q, 0n, 0m, 0f, 1u
gpg: next trustdb check due at 2022-07-14
/home/toma/.gnupg/pubring.kbx
-----------------------------
sec rsa2048 2020-07-14 [SC] [revoked: 2020-07-14]
EA0648C71CB9EFF989807DB4C1B63A41D1D61D69
uid [ revoked] tom@tom.tom

$ gpg --output timp.sig --sign temp.html
gpg: no default secret key: No secret key
gpg: signing failed: No secret key

4.3 编辑 key

$ gpg --edit-key tom@tom.tom
...
gpg> clean
User ID "tom c (tom) <tom@tom.tom>": already clean
Edit your key
Running the gpg --edit-key <user-id> command will present a menu which enables you to do most of your key management related tasks.
Some useful commands in the edit key sub menu:
> passwd # change the passphrase
> clean # compact any user ID that is no longer usable (e.g revoked or expired)
> revkey # revoke a key
> addkey # add a subkey to this key
> expire # change the key expiration time
> adduid # add additional names, comments, and email addresses
> addphoto # add photo to key (must be JPG, 240x288 recommended, enter full path to image when prompted)
更多操作请输入help

4.4 删除 key

删除私钥
$ gpg --delete-secret-key tom@tom.tom
$ gpg --list-secret-keys

删除公钥
$ gpg --delete-keys tom@tom.tom
$ gpg --list-keys

5. 签名

签名证明文件并加盖时间戳。如果文档被修改，签名验证将失败。与使用公钥加密文档的加密不同，签名是使用用户的私钥创建的。然后，签名文档的收件人使用发件人的公钥验证签名。
以下会用到的参数名称:
- doc.sig 原始文件的签名文件(文本,软件,iso镜像文件; 软件及iso镜像文件通常使用独立签名)
- doc 原始文件

5.1 创建签名

签名文件: 要签名文件，请使用--sign或-s标志：
$ gpg --output doc.sig --sign doc
doc.sig包含原始文件的压缩内容doc和二进制格式的签名，但是该文件未加密。但是，您可以将签名与加密结合使用。

清除签名文件或消息: 要对文件进行签名而不将其压缩为二进制格式，请使用：
$ gpg --output doc.sig --clearsign doc
在此，原始文件的内容doc和签名都以易于阅读的形式存储在中doc.sig。

进行独立签名: 要创建单独的签名文件以与文档或文件本身分开分发，请使用--detach-sig标志：
$ gpg --output doc.sig --detach-sig doc
此处的签名存储在中doc.sig，但的内容doc未存储在其中。此方法通常用于分发软件项目，以允许用户验证该程序尚未被第三方修改。
$ ls -la *.sig
-rw-r--r-- 1 toma users 546 Jul 14 15:16 timp-clear.sig
-rw-r--r-- 1 toma users 310 Jul 14 15:17 timp-detach.sig
-rw-r--r-- 1 toma users 348 Jul 14 15:15 timp.sig

5.2 验证签名: 要验证签名，请使用--verify标志：

$ gpg --verify doc.sig
doc.sig包含您要验证的签名的签名文件在哪里？

如果要验证分离的签名，则在验证时必须同时存在签名的数据文件和签名文件。例如，要验证Arch Linux的最新iso，您可以执行以下操作：
$ gpg --verify archlinux-version.iso.sig
这里必须位于同一目录中。 archlinux-version.iso

您还可以使用第二个参数指定签名的数据文件：
$ gpg --verify archlinux-version.iso.sig /path/to/archlinux-version.iso
如果除了签名之外还对文件进行了加密，则只需解密该文件，它的签名也将得到验证。

6. 扩展阅读链接

https://zh.wikipedia.org/wiki/公开密钥加密
 https://en.wikipedia.org/wiki/Public-key_cryptography
公开密钥密码学（英语：Public-key cryptography）也称非对称式密码学（英语：Asymmetric cryptography）是密码学的一种算法，它需要两个密钥，一个是公开密钥，另一个是私有密钥；公钥用作加密，私钥则用作解密。使用公钥把明文加密后所得的密文，只能用相对应的私钥才能解密并得到原本的明文，最初用来加密的公钥不能用作解密。由于加密和解密需要两个不同的密钥，故被称为非对称加密；不同于加密和解密都使用同一个密钥的对称加密。公钥可以公开，可任意向外发布；私钥不可以公开，必须由用户自行严格秘密保管，绝不透过任何途径向任何人提供，也不会透露给被信任的要通信的另一方。

基于公开密钥加密的特性，它还能提供数字签名的功能，使电子文件可以得到如同在纸本文件上亲笔签署的效果。

公开密钥基础建设透过信任数字证书认证机构的根证书、及其使用公开密钥加密作数字签名核发的公开密钥认证，形成信任链架构，已在TLS实现并在万维网的HTTP以HTTPS、在电子邮件的SMTP以SMTPS或STARTTLS引入。

另一方面，信任网络则采用去中心化的概念，取代了依赖数字证书认证机构的公钥基础设施，因为每一张电子证书在信任链中最终只由一个根证书授权信任，信任网络的公钥则可以累积多个用户的信任。PGP就是其中一个例子。

与对称密码学的比较
对称密码是指在加密和解密时使用同一个密钥的方式，公钥密码则是指在加密和解密时使用不同密钥的方式。

对称密钥加密牵涉到密钥管理的问题，尤其是密钥交换，它需要通信双方在通信之前先透过另一个安全的渠道交换共享的密钥，才可以安全地把密文透过不安全的渠道发送；对称密钥一旦被窃，其所作的加密将即时失效；而在互联网，如果通信双方分隔异地而素未谋面，则对称加密事先所需要的“安全渠道”变得不可行；非对称加密则容许加密公钥随便散布，解密的私钥不发往任何用户，只在单方保管；如此，即使公钥在网上被截获，如果没有与其匹配的私钥，也无法解密，极为适合在互联网上使用。

另一方面，公钥解密的特性可以形成数字签名，使数据和文件受到保护并可信赖；如果公钥透过数字证书认证机构签授成为电子证书，更可作为数字身份的认证，这都是对称密钥加密无法实现的。

不过，公钥加密在在计算上相当复杂，性能欠佳、远远不比对称加密；因此，在一般实际情况下，往往通过公钥加密来随机创建临时的对称秘钥，亦即对话键，然后才通过对称加密来传输大量、主体的数据。

https://zh.wikipedia.org/wiki/对称加密
 https://en.wikipedia.org/wiki/Symmetric-key_algorithm

公钥指纹
https://zh.wikipedia.org/wiki/公开密钥指纹
 https://en.wikipedia.org/wiki/Public_key_fingerprint
在公开密钥加密中，公开密钥指纹（简称：公钥指纹）是用于标识较长公共密钥字节的短序列。指纹通过应用加密散列函数到一个公共密钥来实现。[1]由于指纹较比生成它们的密钥短得多，因此可以用来简化某些密钥的管理任务。
PGP开发了PGP单词列表，以方便在语音通道上交换公共密钥指纹。

https://en.wikipedia.org/wiki/Fingerprint_(computing)
在计算机科学中，指纹识别算法是一个程序映射任意大的数据项（例如计算机文件），以更短的比特串，其指纹，它唯一地标识所有的实际目的的原始数据[1]正如人指纹用于实际目的来唯一地识别人。此指纹可用于重复数据删除目的。这也称为文件指纹，数据指纹或结构化数据指纹。

PGP单词列表
https://zh.wikipedia.org/wiki/PGP词汇表
 https://en.wikipedia.org/wiki/PGP_word_list
PGP词汇表（即“良好隐私密码法词汇表”，又称生物识别词汇表），是一个通过声音频道传输字节时使用的词汇表，目的是清晰表达内容。1995年由计算机语言学家帕特里克·尤奥拉和PGP的创造者菲尔·齐默尔曼发明。[1][2]PGP词汇表与飞行员使用的北约音标字母类似，但此表中的每一个词的值都与256个字节数值一一对应。
https://en.wikipedia.org/wiki/NATO_phonetic_alphabet

https://zh.wikipedia.org/wiki/電子簽名
 https://en.wikipedia.org/wiki/Electronic_signature
https://zh.wikipedia.org/wiki/數位簽章
 https://en.wikipedia.org/wiki/Digital_signature
https://zh.wikipedia.org/wiki/摩尔斯电码
 https://en.wikipedia.org/wiki/Morse_code
有些教授记忆摩尔斯电码的方法是使用一张二叉树。
https://zh.wikipedia.org/wiki/SOS
https://en.wikipedia.org/wiki/SOS
SOS的含义
日常中，SOS通常被理解为：“Save Our Ship”（拯救我们的船）或“Save Our Souls”（拯救我们的灵魂）。但当初制定规范时是没有意思的，纯粹因摩尔斯电码是全点及全横而方便记载。
SOS的摩尔斯电码 SOS（···---···）
S、O、S这三个字母的摩尔斯电码分别是“···”、“---”、“···”，念为“滴滴滴”、“答答答”、“滴滴滴”，也就是“三短音”、“三长音”、“三短音”。
极为简洁明确，即便是未经训练的民众，也可以轻易的利用手边的器物发出这样的信号，或是加以识别。

https://zh.wikipedia.org/wiki/霍夫曼编码
 https://en.wikipedia.org/wiki/Huffman_coding

https://zh.wikipedia.org/wiki/SSH客户端比较
 https://en.wikipedia.org/wiki/Comparison_of_SSH_clients
https://en.wikipedia.org/wiki/Comparison_of_SSH_servers
https://en.wikipedia.org/wiki/Comparison_of_remote_desktop_software

发表于 2020-07-14 17:36 osoft 阅读(1240) 评论(0) 编辑收藏举报

gnupg