age एन्क्रिप्शन टूल: आधुनिक GPG विकल्प

age (Actually Good Encryption) को Filippo Valsorda और Ben Cartwright-Cox ने GPG के सरल, आधुनिक विकल्प के रूप में डिज़ाइन किया था। इसका डिज़ाइन GPG की जटिलता को अस्वीकार करता है: कोई कुंजी-रिंग नहीं, कोई भरोसा मॉडल नहीं, कोई कुंजी हस्ताक्षर नहीं, कोई कॉन्फ़िगरेशन फ़ाइल नहीं और मुख्य कार्यों के लिए कोई प्लगइन पारिस्थितिकी तंत्र नहीं। age का ध्यान एक काम को अच्छी तरह करने पर है: फ़ाइलों को सरल और गलत उपयोग करना कठिन तरीके से एन्क्रिप्ट और डिक्रिप्ट करना।

age में प्राथमिक प्राप्तकर्ता प्रकार age सार्वजनिक कुंजी है, जो X25519 से प्राप्त होती है। age-keygen एक कुंजी युग्म बनाता है: age सार्वजनिक कुंजी (age1 से शुरू होने वाली) और निजी कुंजी वाली age पहचान फ़ाइल। किसी प्राप्तकर्ता के लिए एन्क्रिप्ट करने हेतु उसकी age सार्वजनिक कुंजी -r age1... के साथ निर्दिष्ट करें; डिक्रिप्ट करने हेतु अपनी पहचान फ़ाइल -i key.txt के साथ दें। यह प्रारूप कॉपी-पेस्ट के लिए सुरक्षित बनाया गया है।

age सीधे SSH सार्वजनिक कुंजियों, RSA और Ed25519 दोनों, के लिए एन्क्रिप्ट कर सकता है। यदि आपके पास किसी प्राप्तकर्ता की SSH सार्वजनिक कुंजी (GitHub से: curl https://github.com/username.keys) है, तो आप किसी अतिरिक्त कुंजी विनिमय के बिना उसके लिए फ़ाइल एन्क्रिप्ट कर सकते हैं: age -r @recipient_public_key.txt plaintext.txt > encrypted.age। प्राप्तकर्ता अपनी मौजूदा SSH निजी कुंजी पहचान का उपयोग करके डिक्रिप्ट करता है।

age -p फ़्लैग के साथ पासवर्ड-आधारित (सममित) एन्क्रिप्शन का समर्थन करता है। यह पासफ़्रेज़ से कुंजी प्राप्त करने के लिए scrypt का उपयोग करता है, जिससे बलपूर्वक आज़माइश वाले हमलों के विरुद्ध मेमोरी-हार्ड प्रतिरोध मिलता है। इस विधि में कुंजी प्रबंधन की आवश्यकता नहीं होती: पासफ़्रेज़ रखने वाला कोई भी व्यक्ति डिक्रिप्ट कर सकता है। यह उन स्थितियों के लिए उपयुक्त है जहाँ कुंजी वितरण व्यावहारिक नहीं है, जैसे क्लाउड में संग्रहीत बैकअप अभिलेखों को एन्क्रिप्ट करना।

age पहचान फ़ाइल में निजी कुंजी पाठ प्रारूप में होती है, जिसमें प्रत्येक पंक्ति पर एक कुंजी होती है। GPG की बाइनरी कुंजी-रिंग के विपरीत, पहचान फ़ाइलें सादा पाठ होती हैं जिन्हें कहीं भी संग्रहीत, बैकअप और मानक फ़ाइल उपकरणों से प्रबंधित किया जा सकता है। पहचान फ़ाइलों को फ़ाइल-सिस्टम अनुमतियों से सुरक्षित रखें या उन्हें पासफ़्रेज़ से एन्क्रिप्ट करें (किसी अन्य age एन्क्रिप्शन परत या age-plugin-yubikey जैसे उपकरण का उपयोग करके)। डिक्रिप्शन के समय पहचान फ़ाइलें -i के साथ निर्दिष्ट की जाती हैं।

age-keygen कुछ ही सेकंड में नया X25519 कुंजी युग्म बनाता है: age-keygen -o key.txt। आउटपुट फ़ाइल में निजी कुंजी होती है और संबंधित सार्वजनिक कुंजी stdout पर प्रदर्शित होती है। इसमें कोई संवादात्मक कॉन्फ़िगरेशन नहीं होता: कुंजी का प्रकार, आकार और एल्गोरिदम नियत होते हैं। इस सरलता का अर्थ है कि निर्माण के ऐसे कोई विकल्प नहीं हैं जिन्हें गलत कॉन्फ़िगर किया जा सके, और आउटपुट प्रारूप मानकीकृत तथा पार्स करने योग्य है।

age एक ही कार्य में कई प्राप्तकर्ताओं के लिए एन्क्रिप्शन का समर्थन करता है: age -r age1alice... -r age1bob... file.txt। सूची में दिया गया कोई भी प्राप्तकर्ता अपनी निजी कुंजी का उपयोग करके फ़ाइल को स्वतंत्र रूप से डिक्रिप्ट कर सकता है। आंतरिक रूप से age सममित फ़ाइल कुंजी को प्रत्येक प्राप्तकर्ता के लिए अलग-अलग एन्क्रिप्ट करता है और सभी एन्क्रिप्ट की गई कुंजी प्रतियों को हेडर में संग्रहीत करता है। यह अवधारणा GPG के बहु-प्राप्तकर्ता एन्क्रिप्शन के समान है।

rage age विनिर्देशन का Rust कार्यान्वयन है, जो समान फ़ाइल प्रारूप और CLI इंटरफ़ेस प्रदान करता है। Rust की मेमोरी सुरक्षा गारंटी और प्रदर्शन rage को संदर्भ Go कार्यान्वयन का आकर्षक विकल्प बनाते हैं। दोनों कार्यान्वयन अंतरसंचालनीय हैं: age से एन्क्रिप्ट की गई फ़ाइलों को rage से डिक्रिप्ट किया जा सकता है और इसके विपरीत भी। rage अधिकांश प्लेटफ़ॉर्मों पर पैकेज प्रबंधकों के माध्यम से उपलब्ध है।

age प्लगइन age द्वारा समर्थित प्राप्तकर्ता प्रकारों का विस्तार करते हैं। age-plugin-yubikey, PIV इंटरफ़ेस का उपयोग करके YubiKey हार्डवेयर सुरक्षा कुंजियों के लिए एन्क्रिप्शन सक्षम करता है, इसलिए डिक्रिप्शन के लिए YubiKey का भौतिक स्वामित्व आवश्यक होता है। प्लगइन एक मानकीकृत प्रोटोकॉल का पालन करते हैं, जिससे मुख्य age बाइनरी में बदलाव किए बिना नए प्राप्तकर्ता प्रकार जोड़े जा सकते हैं। यह विस्तारशीलता आधार उपकरण को न्यूनतम रखते हुए हार्डवेयर कुंजी समर्थन प्रदान करती है।

age सरलता में उत्कृष्ट है: प्रबंधित करने के लिए कोई भरोसा मॉडल नहीं, कोई कुंजी हस्ताक्षर समारोह नहीं, कोई कॉन्फ़िगरेशन नहीं और एन्क्रिप्ट या डिक्रिप्ट करने के लिए एक-पंक्ति कमांड। GPG में कहीं अधिक सुविधाएँ हैं: कुंजी हस्ताक्षर, भरोसे के स्तर, कुंजी सर्वर, अनेक उपकुंजियाँ, फ़ोटो ID और मेल क्लाइंटों के साथ व्यापक एकीकरण। फ़ाइलों और बैकअप को एन्क्रिप्ट करने के लिए age अक्सर बेहतर विकल्प है। ईमेल एन्क्रिप्शन और सॉफ़्टवेयर हस्ताक्षर पारिस्थितिकी तंत्रों के लिए GPG अब भी मानक है।

age स्वचालित बैकअप एन्क्रिप्शन के लिए विशेष रूप से उपयुक्त है। एक क्रॉन कार्य recipients.txt में संग्रहीत प्राप्तकर्ताओं की सार्वजनिक कुंजियों के समूह से बैकअप को एन्क्रिप्ट कर सकता है: age --recipients-file recipients.txt backup.tar.gz > backup.tar.gz.age. पासफ़्रेज़ दर्ज करने की आवश्यकता नहीं होती, कुंजी प्रबंधन सरल रहता है और कई संचालक अपनी-अपनी कुंजियों का उपयोग करके स्वतंत्र रूप से डिक्रिप्ट कर सकते हैं। इस तरह बनी फ़ाइलें सर्वर के साथ छेड़छाड़ होने पर भी सुरक्षित रहती हैं।

age का पुनरावलोकन: सुविधाओं की अपेक्षा सरलता को प्राथमिकता देने के लिए बनाया गया, प्राथमिक प्राप्तकर्ताओं के लिए X25519-आधारित age सार्वजनिक कुंजियाँ, सुविधाजनक वैकल्पिक प्राप्तकर्ताओं के रूप में SSH सार्वजनिक कुंजियाँ, पासफ़्रेज़ मोड में scrypt-आधारित पासवर्ड एन्क्रिप्शन, कुंजी-युग्म बनाने के लिए age-keygen, एक ही फ़ाइल में कई प्राप्तकर्ता, समान फ़ाइल प्रारूप वाला रस्ट विकल्प rage, हार्डवेयर कुंजी समर्थन के लिए प्लग-इन और स्वचालित बैकअप एन्क्रिप्शन कार्यप्रवाहों के लिए आदर्श।