استخدام GPG لتشفير الملفات غير المتماثل

يطبّق GNU Privacy Guard ‏(GPG) معيار OpenPGP ‏(RFC 4880) لتشفير الملفات غير المتماثل والتوقيعات الرقمية. ويتيح عمليتين أساسيتين: تشفير ملف بحيث لا يتمكن من فك تشفيره إلا المستلم المقصود، وتوقيع ملف بحيث يستطيع الآخرون التحقق من أصالته وسلامته. ويُعد GPG الأداة المعيارية لنقل الملفات بأمان وتوقيع إصدارات البرمجيات.

يمكن توليد مفاتيح GPG تفاعليًا باستخدام gpg --gen-key أو برمجيًا باستخدام gpg --quick-gen-key. وتستخدم إعدادات GPG الحديثة افتراضيًا ed25519 للتوقيع وcv25519 ‏(Curve25519) للتشفير، فتُنشئ مفتاح توقيع أساسيًا ومفتاحًا فرعيًا للتشفير. ويوفر الخيار --full-gen-key تحكمًا كاملًا في نوع المفتاح وحجمه وتاريخ انتهاء صلاحيته للمستخدمين الذين يحتاجون إلى إعدادات مخصصة.

تتوافق مفاتيح GPG من نوع RSA بحجم 4096 بت مع جميع تطبيقات OpenPGP، وتوفر أمانًا قويًا. وتنتج مفاتيح ECDSA باستخدام Curve25519 ‏(Ed25519 للتوقيع وCv25519 للتشفير) مفاتيح أصغر وعمليات أسرع مع الحفاظ على مستوى أمان مكافئ. وتقتصر مفاتيح DSA القديمة على ملخصات SHA-1 في التطبيقات الأقدم، ولذلك ينبغي عدم استخدامها. وينبغي أن تستخدم المفاتيح الجديدة أنواعًا مبنية على Curve25519.

بعد توليد زوج المفاتيح، صدّروا مفتاحكم العام لتوزيعه: ينتج الأمر gpg --armor --export your@email.com كتلة مفتاح عام بترميز ASCII-armored. شاركوا هذا الملف مع كل من ينبغي له تشفير الملفات لكم أو التحقق من توقيعاتكم. ويستورد المستلمون مفتاحكم العام باستخدام gpg --import publickey.asc قبل أن يتمكنوا من التشفير أو التحقق.

لتشفير ملف لمستلم محدد، استخدموا الأمر: gpg --encrypt --recipient recipient@email.com --output secret.gpg plaintext.txt. يستخدم GPG المفتاح العام للمستلم لتشفير مفتاح جلسة الملف، ثم يشفّر الملف باستخدام AES-256 أو خوارزمية التشفير المتفاوض عليها. ولا يستطيع فك تشفير مفتاح جلسة الملف واستعادة النص الصريح إلا المستلم الذي يملك المفتاح الخاص المطابق.

ينشئ التوقيع المنفصل، مثل gpg --detach-sign --armor file.tar.gz، ملفًا منفصلًا بامتداد .asc يحتوي على التوقيع. ولا يتغير الملف الأصلي. ويتحقق المستلمون من التوقيع باستخدام gpg --verify file.tar.gz.asc file.tar.gz. وتُعد التوقيعات المنفصلة المعيار لإصدارات البرمجيات، إذ تتيح التحقق من التوقيع دون فك تشفير الملف الموزع أو تعديله.

يؤكد التحقق من التوقيع أن الملف وُقّع بالمفتاح المدّعى، وأنه لم يُعدّل منذ توقيعه. يعرض الأمر gpg --verify signature.asc file بصمة المفتاح ومعرّف المستخدم وما إذا كان التوقيع صالحًا أو غير صالح. ويعتمد الأمان على الثقة الصحيحة في المفتاح العام للموقّع؛ فالتوقيع الصالح الصادر عن مفتاح غير موثوق أو غير مُتحقق منه لا يوفر ضمانًا يُذكر.

يشفّر GPG المفتاح الخاص باستخدام خوارزمية تشفير متماثل مشتقة من عبارة مرور قبل تخزينه. ومن دون عبارة المرور، لا يستطيع المهاجم الذي يحصل على ملف المفتاح الخاص استخدامه. ويستخدم GPG دالة اشتقاق مفاتيح لاشتقاق مفتاح التشفير من عبارة المرور. وينبغي أن تكون عبارة المرور طويلة وسهلة التذكر، وألا تُستخدم في أي مكان آخر، لأن جميع ملفاتكم المشفرة محمية بها.

تستضيف خوادم مفاتيح GPG المفاتيح العامة لتسهيل اكتشافها. يرفع الأمر gpg --send-keys KEYID --keyserver hkps://keys.openpgp.org مفتاحكم العام. ويمكن للآخرين البحث والاستيراد باستخدام gpg --recv-keys KEYID. وتتزامن خوادم المفاتيح فيما بينها، مما يوفر إتاحة عالمية. وتتطلب خوادم المفاتيح الحديثة مثل keys.openpgp.org التحقق من البريد الإلكتروني قبل النشر، مما يمنع هجمات إغراق المفاتيح.

يوفر تحديد تاريخ انتهاء صلاحية مفتاحكم حماية تلقائية إذا فقدتم السيطرة عليه، دون الحاجة إلى إنشاء شهادة إبطال. وعند انتهاء صلاحية المفتاح، يحذّر GPG المستخدمين الذين يشفّرون باستخدامه. وإذا اختُرق مفتاحكم، فانشروا فورًا شهادة إبطال، أُنشئت وقت توليد المفتاح، على خوادم المفاتيح باستخدام الأمرين: gpg --import revocation.cert وgpg --send-keys. ويمنع ذلك إجراء عمليات تشفير جديدة باستخدام المفتاح المخترق.

يمكن لـ GPG العمل بصورة غير تفاعلية داخل البرامج النصية باستخدام الخيارين --batch و--yes، وتوفير عبارات المرور عبر --passphrase-fd لقراءتها من واصف ملف. ويخزّن وكيل GPG ‏(gpg-agent) عبارة المرور مؤقتًا لمدة قابلة للضبط، مما يتيح إعادة استخدامها تلقائيًا. وفي مسارات CI/CD، ينبغي تخزين مواد المفاتيح في أنظمة إدارة الأسرار، لا في الشفرة المصدرية أو متغيرات البيئة.

ما أمر GPG الذي يشفّر ملفًا لمستلم محدد باستخدام مفتاحه العام؟

خلاصة GPG: ولّدوا أزواج المفاتيح، ويفضل استخدام Curve25519، وصدّروا المفاتيح العامة وشاركوها، وشفروا باستخدام المفتاح العام للمستلم عبر --encrypt --recipient، ووقّعوا الملفات منفصلًا باستخدام التوقيعات المنفصلة عبر --detach-sign، وتحققوا من التوقيعات باستخدام --verify، واحموا المفاتيح الخاصة بعبارات المرور، وحددوا تواريخ انتهاء الصلاحية وأعدّوا شهادات الإبطال، واستخدموا خوادم المفاتيح لاكتشاف المفاتيح العامة وتوزيعها.