Asimetrik Dosya Şifreleme için GPG

GNU Privacy Guard (GPG), asimetrik dosya şifreleme ve dijital imzalar için OpenPGP standardını (RFC 4880) uygular. İki temel işlemi mümkün kılar: yalnızca hedeflenen alıcının şifresini çözebileceği şekilde bir dosyayı şifrelemek ve başkalarının gerçekliğini ve bütünlüğünü doğrulayabilmesi için bir dosyayı imzalamak. GPG, güvenli dosya aktarımı ve yazılım sürümü imzalama için standart araçtır.

GPG anahtarı oluşturma, gpg --gen-key ile etkileşimli veya gpg --quick-gen-key ile betiklenebilir biçimdedir. Modern GPG, imzalama için varsayılan olarak ed25519'u, şifreleme içinse cv25519'u (Curve25519) kullanarak birincil imzalama anahtarı ve şifreleme için bir alt anahtar oluşturur. --full-gen-key seçeneği, özel yapılandırmalara ihtiyaç duyan kullanıcılara anahtar türü, boyutu ve son kullanma tarihi üzerinde tam denetim sağlar.

RSA 4096 bit GPG anahtarları tüm OpenPGP uygulamalarıyla uyumludur ve güçlü güvenlik sağlar. Curve25519 kullanan ECDSA (imzalama için Ed25519, şifreleme için Cv25519), eşdeğer güvenliği korurken daha küçük anahtarlar ve daha hızlı işlemler sunar. Eski DSA anahtarları, eski uygulamalarda SHA-1 özetleriyle sınırlıdır ve kullanılmamalıdır. Yeni anahtarlarda Curve25519 tabanlı türler kullanılmalıdır.

Bir anahtar çifti oluşturduktan sonra dağıtmak için açık anahtarınızı dışa aktarın: gpg --armor --export your@email.com, ASCII biçimli bir açık anahtar bloğu oluşturur. Bu dosyayı, size dosya şifrelemesi yapmak veya imzalarınızı doğrulamak isteyen herkesle paylaşın. Alıcılar, şifreleme ya da doğrulama yapmadan önce açık anahtarınızı gpg --import publickey.asc ile içe aktarır.

Belirli bir alıcı için dosyayı şifrelemek üzere şu komutu kullanın: gpg --encrypt --recipient recipient@email.com --output secret.gpg plaintext.txt. GPG, dosyanın oturum anahtarını şifrelemek için alıcının açık anahtarını kullanır ve dosyayı AES-256 (veya müzakere edilen şifreleme algoritması) ile şifreler. Yalnızca eşleşen özel anahtara sahip alıcı, dosyanın oturum anahtarının şifresini çözebilir ve düz metni elde edebilir.

Ayrık imza (gpg --detach-sign --armor file.tar.gz), imzayı içeren ayrı bir .asc dosyası oluşturur. Özgün dosya değiştirilmez. Alıcılar doğrulamayı gpg --verify file.tar.gz.asc file.tar.gz ile yapar. Ayrık imzalar, dağıtılan dosyanın şifresini çözmeden veya dosyayı değiştirmeden imza doğrulamasına olanak tanıdığından yazılım sürümleri için standarttır.

İmza doğrulama, bir dosyanın iddia edilen anahtarla imzalandığını ve imzalandıktan sonra değiştirilmediğini onaylar. gpg --verify signature.asc file komutu anahtar parmak izini, kullanıcı kimliğini ve imzanın geçerli veya geçersiz olup olmadığını gösterir. Güvenlik, imzalayanın açık anahtarına doğru şekilde güvenilmesine bağlıdır: güvenilmeyen veya doğrulanmamış bir anahtardan gelen geçerli bir imza çok az güvence sağlar.

GPG, özel anahtarı depolamadan önce bir parola ifadesinden türetilen simetrik bir şifreleme algoritmasıyla şifreler. Parola ifadesi olmadan, özel anahtar dosyasını ele geçiren bir saldırgan bu anahtarı kullanamaz. GPG, şifreleme anahtarını parola ifadesinden türetmek için bir anahtar türetme işlevi kullanır. Parola ifadesi uzun ve akılda kalıcı olmalı, ancak başka bir yerde kullanılmamalıdır; çünkü şifrelenmiş dosyalarınızın tümü bununla korunur.

GPG anahtar sunucuları, keşfedilmeleri için açık anahtarları barındırır. gpg --send-keys KEYID --keyserver hkps://keys.openpgp.org komutu açık anahtarınızı yükler. Başkaları gpg --recv-keys KEYID ile arama yapabilir ve anahtarınızı içe aktarabilir. Anahtar sunucuları birbirleriyle eşzamanlanarak küresel erişilebilirlik sağlar. keys.openpgp.org gibi modern anahtar sunucuları, yayımlamadan önce e-posta doğrulaması gerektirir ve böylece istenmeyen anahtar yayma saldırılarını önler.

Anahtarınıza bir son kullanma tarihi belirlemek, bir iptal sertifikası oluşturmadan anahtar üzerindeki denetimi kaybetmeniz durumunda otomatik koruma sağlar. Bir anahtarın süresi dolduğunda GPG, o anahtara şifreleme yapan kullanıcıları uyarır. Anahtarınız ele geçirilirse, iptal sertifikasını (anahtar oluşturma sırasında oluşturulur) hemen anahtar sunucularında yayımlayın: gpg --import revocation.cert ve gpg --send-keys. Bu, ele geçirilmiş anahtara daha fazla şifreleme yapılmasını önler.

GPG, --batch ve --yes seçeneklerini kullanarak ve parola ifadelerini bir dosya tanımlayıcısından okumak üzere --passphrase-fd aracılığıyla sağlayarak betiklerde etkileşimsiz biçimde çalışabilir. GPG aracısı (gpg-agent), parola ifadesini yapılandırılabilir bir süre boyunca önbelleğe alarak otomatik olarak yeniden kullanılmasına olanak tanır. CI/CD işlem hatlarında anahtar materyali kaynak kodunda veya ortam değişkenlerinde değil, gizli bilgi yönetimi sistemlerinde saklanmalıdır.

Belirli bir alıcı için, alıcının açık anahtarını kullanarak dosyayı hangi GPG komutu şifreler?

GPG özeti: anahtar çiftleri oluşturun (Curve25519'u tercih edin), açık anahtarları dışa aktarın ve paylaşın, alıcının açık anahtarıyla şifreleyin (--encrypt --recipient), dosyaları ayrık imzalarla (--detach-sign) ayrı ayrı imzalayın, imzaları --verify ile doğrulayın, özel anahtarları parola ifadeleriyle koruyun, son kullanma tarihleri belirleyip iptal sertifikaları hazırlayın ve açık anahtarları keşfetmek ve dağıtmak için anahtar sunucularını kullanın.