GPG untuk Enkripsi Berkas Asimetris

GNU Privacy Guard (GPG) menerapkan standar OpenPGP (RFC 4880) untuk enkripsi berkas asimetris dan tanda tangan digital. GPG memungkinkan dua operasi dasar: mengenkripsi berkas agar hanya penerima yang dituju yang dapat mendekripsinya, serta menandatangani berkas agar pihak lain dapat memverifikasi keaslian dan integritasnya. GPG adalah alat standar untuk transfer berkas yang aman dan penandatanganan rilis perangkat lunak.

Pembuatan kunci GPG bersifat interaktif dengan gpg --gen-key atau dapat dijalankan melalui skrip dengan gpg --quick-gen-key. GPG modern secara bawaan menggunakan ed25519 untuk penandatanganan dan cv25519 (Curve25519) untuk enkripsi, dengan membuat kunci penandatanganan utama dan subkunci untuk enkripsi. Opsi --full-gen-key memberikan kendali penuh atas jenis kunci, ukuran, dan tanggal kedaluwarsa bagi pengguna yang memerlukan konfigurasi khusus.

Kunci GPG RSA 4096-bit kompatibel dengan semua penerapan OpenPGP dan memberikan keamanan yang kuat. ECDSA dengan Curve25519 (Ed25519 untuk penandatanganan, Cv25519 untuk enkripsi) menghasilkan kunci yang lebih kecil dan operasi yang lebih cepat dengan tingkat keamanan yang setara. Kunci DSA lama terbatas pada intisari SHA-1 dalam penerapan terdahulu dan tidak boleh digunakan. Kunci baru sebaiknya menggunakan jenis berbasis Curve25519.

Setelah membuat pasangan kunci, ekspor kunci publik Anda untuk dibagikan: gpg --armor --export your@email.com menghasilkan blok kunci publik berformat ASCII. Bagikan berkas ini kepada siapa pun yang perlu mengenkripsi berkas untuk Anda atau memverifikasi tanda tangan Anda. Penerima mengimpor kunci publik Anda dengan gpg --import publickey.asc sebelum dapat mengenkripsi atau memverifikasi.

Untuk mengenkripsi berkas bagi penerima tertentu: gpg --encrypt --recipient recipient@email.com --output secret.gpg plaintext.txt. GPG menggunakan kunci publik penerima untuk mengenkripsi kunci sesi berkas, lalu mengenkripsi berkas dengan AES-256 (atau sandi yang dinegosiasikan). Hanya penerima yang memegang kunci privat yang sesuai yang dapat mendekripsi kunci sesi berkas dan memulihkan teks biasa.

Tanda tangan terpisah (gpg --detach-sign --armor file.tar.gz) membuat berkas .asc terpisah yang berisi tanda tangan. Berkas asli tidak berubah. Penerima memverifikasinya dengan gpg --verify file.tar.gz.asc file.tar.gz. Tanda tangan terpisah merupakan standar untuk rilis perangkat lunak karena memungkinkan verifikasi tanda tangan tanpa mendekripsi atau mengubah berkas yang didistribusikan.

Verifikasi tanda tangan memastikan bahwa berkas ditandatangani oleh kunci yang diklaim dan tidak diubah sejak penandatanganan. gpg --verify signature.asc file menampilkan sidik jari kunci, ID pengguna, serta apakah tanda tangan tersebut valid atau tidak. Keamanan bergantung pada kepercayaan yang tepat terhadap kunci publik penanda tangan: tanda tangan valid dari kunci yang tidak dipercaya atau belum diverifikasi hanya memberikan sedikit jaminan.

GPG mengenkripsi kunci privat dengan sandi simetris yang diturunkan dari frasa sandi sebelum menyimpannya. Tanpa frasa sandi tersebut, penyerang yang memperoleh berkas kunci privat tidak dapat menggunakannya. GPG menggunakan fungsi derivasi kunci untuk menurunkan kunci enkripsi dari frasa sandi. Frasa sandi sebaiknya panjang dan mudah diingat, tetapi tidak digunakan di tempat lain karena semua berkas terenkripsi Anda dilindungi olehnya.

Server kunci GPG menyimpan kunci publik untuk memudahkan pencarian. gpg --send-keys KEYID --keyserver hkps://keys.openpgp.org mengunggah kunci publik Anda. Orang lain dapat mencari dan mengimpornya dengan gpg --recv-keys KEYID. Server kunci saling menyinkronkan sehingga kunci tersedia secara global. Server kunci modern seperti keys.openpgp.org memerlukan verifikasi email sebelum publikasi untuk mencegah serangan spam kunci.

Menetapkan tanggal kedaluwarsa pada kunci memberikan perlindungan otomatis jika Anda kehilangan kendali atasnya tanpa perlu membuat sertifikat pencabutan. Saat kunci kedaluwarsa, GPG memperingatkan pengguna yang mengenkripsi sesuatu untuk kunci tersebut. Jika kunci Anda disusupi, segera publikasikan sertifikat pencabutan (yang dibuat saat pembuatan kunci) ke server kunci: gpg --import revocation.cert dan gpg --send-keys. Tindakan ini mencegah enkripsi lebih lanjut menggunakan kunci yang disusupi.

GPG dapat beroperasi tanpa interaksi dalam skrip menggunakan flag --batch dan --yes, serta menyediakan frasa sandi melalui --passphrase-fd untuk membacanya dari deskriptor berkas. Agen GPG (gpg-agent) menyimpan frasa sandi dalam tembolok selama durasi yang dapat dikonfigurasi sehingga dapat digunakan kembali secara otomatis. Untuk alur CI/CD, materi kunci sebaiknya disimpan dalam sistem pengelolaan rahasia, bukan dalam kode sumber atau variabel lingkungan.

Perintah GPG apa yang mengenkripsi berkas untuk penerima tertentu menggunakan kunci publiknya?

Ringkasan GPG: buat pasangan kunci (utamakan Curve25519), ekspor dan bagikan kunci publik, lakukan enkripsi dengan kunci publik penerima (--encrypt --recipient), tanda tangani berkas secara terpisah dengan tanda tangan terpisah (--detach-sign), verifikasi tanda tangan dengan --verify, lindungi kunci privat dengan frasa sandi, tetapkan tanggal kedaluwarsa dan siapkan sertifikat pencabutan, serta gunakan server kunci untuk menemukan dan mendistribusikan kunci publik.