أداة التشفير age: بديل حديث لـ GPG

صُمم age ‏(Actually Good Encryption) على يد Filippo Valsorda وBen Cartwright-Cox ليكون بديلًا بسيطًا وحديثًا لـ GPG. ويرفض التصميم تعقيد GPG، فلا يتضمن حلقات مفاتيح أو نموذج ثقة أو توقيعًا للمفاتيح أو ملفات إعداد أو منظومة مكونات إضافية للعمليات الأساسية. ويركز age على تنفيذ مهمة واحدة بإتقان: تشفير الملفات وفك تشفيرها بطريقة مباشرة يصعب إساءة استخدامها.

نوع المستلم الأساسي في age هو مفتاح عام لـ age مشتق من X25519. ينشئ age-keygen زوج مفاتيح: مفتاحًا عامًا لـ age يبدأ بـ age1، وملف هوية age يحتوي على المفتاح الخاص. وللتشفير لمستلم، حدّدوا مفتاحه العام لـ age باستخدام -r age1...؛ ولفك التشفير، قدموا ملف هويتكم باستخدام -i key.txt. صُمم هذا التنسيق ليكون آمنًا عند النسخ واللصق.

يمكن لـ age التشفير مباشرةً باستخدام مفاتيح SSH العامة، سواء كانت RSA أو Ed25519. فإذا كان لديكم مفتاح SSH العام الخاص بمستلم، مثل المفتاح المتاح من GitHub عبر curl https://github.com/username.keys، فيمكنكم تشفير ملف له دون أي تبادل إضافي للمفاتيح باستخدام: age -r @recipient_public_key.txt plaintext.txt > encrypted.age. ويفك المستلم التشفير باستخدام هوية مفتاح SSH الخاص الموجودة لديه مسبقًا.

يدعم age التشفير المستند إلى كلمة مرور، أو التشفير المتماثل، باستخدام الخيار -p. ويستخدم scrypt لاشتقاق المفتاح من عبارة المرور، مما يوفر مقاومة تعتمد على الذاكرة ضد هجمات القوة الغاشمة. ولا يتطلب هذا الوضع إدارة مفاتيح؛ إذ يستطيع أي شخص يملك عبارة المرور فك التشفير. وهو مناسب للحالات التي يصبح فيها توزيع المفاتيح غير عملي، مثل تشفير أرشيفات النسخ الاحتياطية المخزنة في السحابة.

يحتوي ملف هوية age على المفتاح الخاص بتنسيق نصي، مع مفتاح واحد في كل سطر. وعلى خلاف حلقة مفاتيح GPG الثنائية، تكون ملفات الهوية ملفات نصية عادية يمكن تخزينها ونسخها احتياطيًا وإدارتها باستخدام أدوات الملفات المعتادة. احموا ملفات الهوية باستخدام أذونات نظام الملفات، أو شفروا هذه الملفات بعبارة مرور باستخدام طبقة تشفير أخرى من age أو أداة مثل age-plugin-yubikey. وتُحدَّد ملفات الهوية باستخدام -i عند فك التشفير.

ينشئ age-keygen زوج مفاتيح جديدًا من نوع X25519 خلال ثوانٍ باستخدام الأمر age-keygen -o key.txt. يحتوي ملف الإخراج على المفتاح الخاص، ويُطبع المفتاح العام المطابق إلى stdout. ولا توجد إعدادات تفاعلية؛ فنوع المفتاح وحجمه والخوارزمية ثابتة. وتعني هذه البساطة عدم وجود خيارات توليد يمكن إعدادها بصورة خاطئة، كما أن تنسيق الإخراج موحّد وقابل للتحليل.

يدعم age التشفير لعدة مستلمين في عملية واحدة، مثل: age -r age1alice... -r age1bob... file.txt. ويمكن لأي مستلم مُدرج فك تشفير الملف بصورة مستقلة باستخدام مفتاحه الخاص. ويشفّر age داخليًا مفتاح الملف المتماثل لكل مستلم على حدة، ثم يخزّن جميع نسخ المفاتيح المشفرة في الترويسة. ويشبه ذلك من الناحية المفاهيمية التشفير لعدة مستلمين في GPG.

rage هو تنفيذ لمواصفات age بلغة Rust، ويوفر تنسيق الملفات نفسه وواجهة CLI نفسها. وتجعل ضمانات أمان الذاكرة والأداء في Rust من rage بديلًا جذابًا للتنفيذ المرجعي بلغة Go. ويتوافق التنفيذان؛ إذ يمكن فك تشفير الملفات المشفرة باستخدام age بواسطة rage والعكس صحيح. ويتوفر rage عبر مديري الحزم في معظم الأنظمة الأساسية.

توسّع إضافات age أنواع المستلمين التي يدعمها age. ويتيح age-plugin-yubikey التشفير لمفاتيح أمان الأجهزة YubiKey باستخدام واجهة PIV، بحيث يتطلب فك التشفير حيازة YubiKey فعليًا. وتتبع الإضافات بروتوكولًا موحّدًا، مما يسمح بإضافة أنواع مستلمين جديدة دون تعديل ملف age الثنائي الأساسي. ويدعم هذا التوسع استخدام مفاتيح الأجهزة مع الحفاظ على الحد الأدنى من حجم الأداة الأساسية.

يتفوق age في البساطة: فلا يوجد نموذج ثقة لإدارته، ولا أطراف لتوقيع المفاتيح، ولا إعدادات، كما أن أمر التشفير أو فك التشفير يتكون من سطر واحد. أما GPG فيوفر ميزات أكثر بكثير، مثل توقيع المفاتيح ومستويات الثقة وخوادم المفاتيح والمفاتيح الفرعية المتعددة ومعرّفات الصور والتكامل الواسع مع عملاء البريد. ويُعد age غالبًا الخيار الأفضل لتشفير الملفات والنسخ الاحتياطية. أما بالنسبة إلى تشفير البريد الإلكتروني ومنظومات توقيع البرمجيات، فيظل GPG هو المعيار.

تُعد age مناسبة على نحو خاص لتشفير النسخ الاحتياطية المؤتمتة. يمكن لمهمة cron تشفير النسخ الاحتياطية باستخدام مجموعة من المفاتيح العامة للمستلمين المخزنة في ملف: age --recipients-file recipients.txt backup.tar.gz > backup.tar.gz.age. لا حاجة إلى إدخال عبارة مرور، وإدارة المفاتيح بسيطة، ويمكن لعدة مشغّلين فك التشفير بشكل مستقل باستخدام مفاتيحهم الخاصة. وتكون الملفات الناتجة مقاومة لاختراق الخادم.

أيٌّ من أنواع المستلمين التالية غير مدعوم في تشفير age؟

مراجعة age: صُممت لتفضيل البساطة على كثرة الميزات، وتستخدم مفاتيح age العامة المعتمدة على X25519 للمستلمين الأساسيين، ومفاتيح SSH العامة كخيار بديل مريح للمستلمين، وتشفيرًا قائمًا على scrypt في وضع عبارة المرور، وأداة age-keygen لإنشاء أزواج المفاتيح، وتدعم عدة مستلمين في ملف واحد، كما توفر rage بديلًا مكتوبًا بلغة Rust مع تنسيق ملفات مطابق، وتدعم الإضافات مفاتيح العتاد، وهي مثالية لمسارات تشفير النسخ الاحتياطية المؤتمتة.