เครื่องมือเข้ารหัส age: ทางเลือกสมัยใหม่แทน GPG

age (Actually Good Encryption) ได้รับการออกแบบโดย Filippo Valsorda และ Ben Cartwright-Cox ให้เป็นทางเลือกที่เรียบง่ายและทันสมัยแทน GPG การออกแบบนี้ปฏิเสธความซับซ้อนของ GPG ได้แก่ ไม่มีพวงคีย์ ไม่มีโมเดลความน่าเชื่อถือ ไม่มีการลงลายเซ็นคีย์ ไม่มีไฟล์การตั้งค่า และไม่มีระบบนิเวศปลั๊กอินสำหรับการทำงานหลัก age มุ่งทำสิ่งเดียวให้ดี นั่นคือการเข้ารหัสและถอดรหัสไฟล์ด้วยวิธีที่ตรงไปตรงมาและใช้งานผิดพลาดได้ยาก

age สามารถเข้ารหัสโดยตรงไปยังคีย์สาธารณะ SSH ได้ทั้ง RSA และ Ed25519 หากมีคีย์สาธารณะ SSH ของผู้รับ (จาก GitHub: curl https://github.com/username.keys) ก็สามารถเข้ารหัสไฟล์ให้ผู้รับนั้นได้โดยไม่ต้องแลกเปลี่ยนคีย์เพิ่มเติมด้วยคำสั่ง age -r @recipient_public_key.txt plaintext.txt > encrypted.age ผู้รับถอดรหัสโดยใช้ข้อมูลระบุตัวตนของคีย์ส่วนตัว SSH ที่มีอยู่แล้ว

age รองรับการเข้ารหัสด้วยรหัสผ่าน (แบบสมมาตร) โดยใช้แฟล็ก -p age ใช้ scrypt เพื่อสร้างคีย์จากวลีรหัสผ่าน ซึ่งช่วยต้านทานการเดารหัสแบบไล่ครบได้ด้วยการบังคับใช้หน่วยความจำสูง โหมดนี้ไม่ต้องจัดการคีย์ ผู้ใดมีวลีรหัสผ่านก็สามารถถอดรหัสได้ เหมาะสำหรับกรณีที่การแจกจ่ายคีย์ทำได้ยาก เช่น การเข้ารหัสไฟล์จัดเก็บสำรองที่เก็บไว้บนคลาวด์

ไฟล์ข้อมูลระบุตัวตนของ age มีคีย์ส่วนตัวในรูปแบบข้อความ โดยมีคีย์หนึ่งรายการต่อบรรทัด ต่างจากพวงคีย์ไบนารีของ GPG ไฟล์ข้อมูลระบุตัวตนเป็นข้อความธรรมดาที่จัดเก็บ สำรองข้อมูล และจัดการได้ทุกที่ด้วยเครื่องมือจัดการไฟล์ทั่วไป ควรปกป้องไฟล์ข้อมูลระบุตัวตนด้วยสิทธิ์ของระบบไฟล์ หรือเข้ารหัสด้วยวลีรหัสผ่าน (โดยใช้การเข้ารหัสอีกชั้นของ age หรือเครื่องมืออย่าง age-plugin-yubikey) ระบุไฟล์ข้อมูลระบุตัวตนด้วย -i เมื่อถอดรหัส

age-keygen สร้างคู่คีย์ X25519 ใหม่ได้ภายในไม่กี่วินาทีด้วยคำสั่ง age-keygen -o key.txt ไฟล์ผลลัพธ์มีคีย์ส่วนตัว และคีย์สาธารณะที่สอดคล้องกันจะแสดงไปยัง stdout ไม่มีการตั้งค่าแบบโต้ตอบ ประเภทคีย์ ขนาด และอัลกอริทึมถูกกำหนดตายตัว ความเรียบง่ายนี้หมายความว่าไม่มีตัวเลือกการสร้างที่อาจตั้งค่าผิดพลาด และรูปแบบผลลัพธ์เป็นมาตรฐานและแยกวิเคราะห์ได้

age รองรับการเข้ารหัสสำหรับผู้รับหลายรายในการทำงานครั้งเดียวด้วยคำสั่ง age -r age1alice... -r age1bob... file.txt ผู้รับรายใดก็ตามที่อยู่ในรายการสามารถถอดรหัสไฟล์ได้อย่างอิสระโดยใช้คีย์ส่วนตัวของตนเอง ภายใน age จะเข้ารหัสคีย์สมมาตรของไฟล์แยกต่างหากสำหรับผู้รับแต่ละราย และจัดเก็บสำเนาคีย์ที่เข้ารหัสทั้งหมดไว้ในส่วนหัว แนวคิดนี้คล้ายกับการเข้ารหัสสำหรับผู้รับหลายรายของ GPG

rage คือการใช้งานข้อกำหนดของ age ด้วย Rust โดยมีรูปแบบไฟล์และอินเทอร์เฟซ CLI เหมือนกัน การรับประกันความปลอดภัยของหน่วยความจำและประสิทธิภาพของ Rust ทำให้ rage เป็นทางเลือกที่น่าสนใจแทนการใช้งานอ้างอิงด้วย Go การใช้งานทั้งสองแบบทำงานร่วมกันได้ ไฟล์ที่เข้ารหัสด้วย age สามารถถอดรหัสด้วย rage และในทางกลับกัน rage พร้อมใช้งานผ่านตัวจัดการแพ็กเกจบนแพลตฟอร์มส่วนใหญ่

ปลั๊กอิน age ขยายประเภทผู้รับที่ age รองรับ age-plugin-yubikey ช่วยให้เข้ารหัสไปยังคีย์ความปลอดภัยฮาร์ดแวร์ YubiKey โดยใช้ส่วนติดต่อ PIV ดังนั้นการถอดรหัสจึงต้องครอบครอง YubiKey ทางกายภาพ ปลั๊กอินใช้โพรโทคอลมาตรฐาน ทำให้เพิ่มประเภทผู้รับใหม่ได้โดยไม่ต้องแก้ไขไบนารีหลักของ age ความสามารถในการขยายนี้รองรับคีย์ฮาร์ดแวร์โดยยังคงทำให้เครื่องมือพื้นฐานมีขนาดเล็ก

age โดดเด่นด้านความเรียบง่าย ไม่ต้องจัดการโมเดลความน่าเชื่อถือ ไม่มีงานรวมกลุ่มเพื่อลงลายเซ็นคีย์ ไม่มีการตั้งค่า และมีคำสั่งเข้ารหัสหรือถอดรหัสแบบบรรทัดเดียว GPG มีความสามารถมากกว่ามาก ได้แก่ การลงลายเซ็นคีย์ ระดับความน่าเชื่อถือ เซิร์ฟเวอร์คีย์ คีย์ย่อยหลายรายการ ID รูปภาพ และการผสานรวมอย่างกว้างขวางกับโปรแกรมรับส่งอีเมล สำหรับการเข้ารหัสไฟล์และไฟล์จัดเก็บสำรอง age มักเป็นตัวเลือกที่ดีกว่า ส่วนระบบนิเวศการเข้ารหัสอีเมลและการลงลายเซ็นซอฟต์แวร์ยังคงใช้ GPG เป็นมาตรฐาน

age เหมาะอย่างยิ่งสำหรับการเข้ารหัสข้อมูลสำรองโดยอัตโนมัติ งาน cron สามารถเข้ารหัสข้อมูลสำรองด้วยกุญแจสาธารณะของผู้รับหลายรายที่เก็บไว้ในไฟล์ได้: age --recipients-file recipients.txt backup.tar.gz > backup.tar.gz.age ไม่จำเป็นต้องป้อนวลีรหัสผ่าน การจัดการกุญแจทำได้ง่าย และผู้ดูแลระบบหลายคนสามารถถอดรหัสได้อย่างอิสระโดยใช้กุญแจของตนเอง ไฟล์ที่ได้จะทนทานต่อการถูกเจาะระบบเซิร์ฟเวอร์

ข้อใดต่อไปนี้เป็นประเภทผู้รับที่ age ไม่รองรับ (NOT) ในการเข้ารหัสด้วย age

สรุป age: ออกแบบมาให้เรียบง่ายมากกว่ามีฟีเจอร์จำนวนมาก ใช้กุญแจสาธารณะ age ที่อ้างอิง X25519 สำหรับผู้รับหลัก ใช้กุญแจสาธารณะ SSH เป็นผู้รับทางเลือกที่สะดวก ใช้การเข้ารหัสด้วยรหัสผ่านที่อ้างอิง scrypt สำหรับโหมดวลีรหัสผ่าน ใช้ age-keygen เพื่อสร้างคู่กุญแจ รองรับผู้รับหลายรายในไฟล์เดียว ใช้ rage เป็นทางเลือกที่พัฒนาด้วย Rust และมีรูปแบบไฟล์เหมือนกัน มีส่วนเสริมสำหรับรองรับกุญแจฮาร์ดแวร์ และเหมาะอย่างยิ่งสำหรับกระบวนการเข้ารหัสข้อมูลสำรองโดยอัตโนมัติ