Kunci GnuPG (GPG)

Pembelajaran seterusnya; berkaitan tajuk di atas.

Pelajaran dan perkara baru bagi saya, sebab ada ternampak orang lain sediakan kunci PGP miliknya. Tertanya-tanya juga, apa ke bendanyalah kunci PGP ini, ya?

Archwiki pun menjadi rujukan. Menurut ^[1] Archwiki yang mengambil petikan dari ^[2] laman web rasmi GnuPG:-

GnuPG ialah pelaksanaan penuh dan percuma bagi standard OpenPGP sebagaimana ditakrifkan oleh RFC4880 (juga dikenali sebagai PGP). GnuPG membenarkan anda untuk menyulitkan dan menandatangani data serta komunikasi anda; ia dibangunkan dengan ciri-ciri sebuah sistem pengurusan kunci yang serba boleh berserta modul-modul akses bagi semua jenis direktori kunci awam. GnuPG, juga dikenali sebagai GPG, ialah sebuah alat perintah baris dengan ciri-ciri yang memudahkan integrasi dengan aplikasi lain. Banyak aplikasi frontend dan libraries yang tersedia. GnuPG juga menyediakan sokongan untuk S/MIME dan Secure Shell (ssh).

Saya akan menyentuh tentang:-

Singkatan-singkatan Opsyen:

Penggunaan Asas:-

Jana Kunci

---

gpg --full-gen-key

Lihat senarai kunci yang ada (dalam keyring)

---

1. Senarai kunci awam & contoh output:-

   gpg -k

   1pub   rsa3072 2021-08-04 [SC]
   2      A752DBD8BB275BCA537667D90E98A0530779BF34
   3uid           [ultimate] Pn Raihan (Contoh) <e-mel@wraihan.com>
   4sub   rsa3072 2021-08-04 [E]

   
   Senarai kunci awam berserta ID kunci & contoh output:-

   gpg -k --keyid-format 0xlong

   1pub   rsa3072/0x0E98A0530779BF34 2021-08-04 [SC]
   2      A752DBD8BB275BCA537667D90E98A0530779BF34
   3uid                   [ultimate] Pn Raihan (Contoh) <e-mel@wraihan.com>
   4sub   rsa3072/0xF045B53A25EB1904 2021-08-04 [E]

   Daripada contoh pengeluaran di atas, ada 4 baris disenaraikan:-

   • ID kunci awam
   • Cap jari (40 karakter alfanumerik)
   • ID pengguna
   • ID sub kunci awam
2. Senarai kunci rahsia:-

   gpg -K

   
   Senarai kunci rahsia berserta ID kunci & contoh output:-

   gpg -K --keyid-format 0xlong

   1sec   rsa3072/0x0E98A0530779BF34 2021-08-04 [SC]
   2      A752DBD8BB275BCA537667D90E98A0530779BF34
   3uid                   [ultimate] Pn Raihan (Contoh) <e-mel@wraihan.com>
   4ssb   rsa3072/0xF045B53A25EB1904 2021-08-04 [E]

   Daripada contoh pengeluaran di atas, ada 4 baris disenaraikan:-

   • ID kunci rahsia
   • Cap jari (40 karakter alfanumerik)
   • ID pengguna
   • ID sub kunci rahsia

Sunting Kunci

---

gpg --edit-key key-id / user-id

Eksport kunci

---

1. Eksport kunci rahsia sebagai sandaran (backup).

   gpg -a -o output_sec.asc --export-secret-keys key-id

   
   Fail sandaran output_sec.asc yang mengandungi kriptogram kunci peribadi inilah yang boleh diimport ke dalam aplikasi lain seperti klien e-mel Thunderbird. Jangan import kunci awam pula, ya! Memang gagallah ceritanya. Nama pun kunci peribadi (personal key), yang hang pergi import kunci awam tu kenapa Raihan weh? :laughing: Lepas tu duk kepelikan sendiri tak ketahuan punca. Rupa-rupanya salah import. Heh!
2. Eksport kunci awam.

   gpg -a -o output_pub.asc --export key-id

   
   Kunci awam berkriptogram yang terkandung di dalam fail output_pub.asc ini boleh diimport ke dalam aplikasi web seperti GitHub, GitLab dan sebagainya. Jangan import kunci peribadi (rahsia) pula di tempat-tempat ini, ya!

Import Kunci

---

gpg --import contoh.asc

Memadam kunci (dalam keyring)

---

1. Memadam kunci rahsia & awam milik sendiri.

   gpg --delete-secret-and-public-key key-id

2. Memadam kunci diimport yang sudah tidak digunakan lagi atau telah tamat tempoh.

   gpg --delete-keys key-id

Mencari dan menerima kunci

---

1. Mencari kunci dalam keyserver tanpa mengimportnya.

   gpg --search-keys user-id / key-id

2. Menerima kunci dari keyserver (import).

   gpg --recv-keys key-id

Tandatangan:-

Tandatangan bersama Penyulitan

---

1. Tandatangan dengan Penyulitan Penuh.

   gpg -o test-E.sig -r recipient-key-id -s -e test.txt

   Fail test.txt ialah dokumen yang mengandungi mesej rahsia. Fail ini ditandangani dan disulitkan dengan cara di atas, menghasilkan sebuah lagi fail bernama test-E.sig.
   Contoh di bawah; Pemilik kunci yang menandatangani dan menyulitkan fail perlu memasukkan ID-kunci-penerima (recipient-key-id) yang bermaksud bahawa, kunci penerima mesti ada di dalam keyring. Jika belum ada, kunci penerima perlu diimport terlebih dahulu.
   

    1$ cat test.txt
    2Salam dan hai, semua! Apa khabar?
    3
    4$ gpg -o test-E.sig -s -e test.txt
    5You did not specify a user ID. (you may use "-r")
    6
    7Current recipients:
    8
    9Enter the user ID.  End with an empty line: 
   10gpg: no valid addressees
   11gpg: test.txt: sign+encrypt failed: No user ID
   12
   13$ gpg --import 0xB0AD752D5C7CA57D.asc
   14gpg: key B0AD752D5C7CA57D: public key "En Ayusri (Contoh) <e-mel@ydomain.com>" imported
   15gpg: Total number processed: 1
   16gpg:               imported: 1
   17
   18$ gpg -k --keyid-format 0xlong
   19~/.gnupg/pubring.kbx
   20-------------------------------
   21pub   rsa3072/0x0E98A0530779BF34 2021-08-04 [SC]
   22      A752DBD8BB275BCA537667D90E98A0530779BF34
   23uid                   [ultimate] Pn Raihan (Contoh) <e-mel@wraihan.com>
   24sub   rsa3072/0xF045B53A25EB1904 2021-08-04 [E]
   25
   26pub   rsa3072/0xB0AD752D5C7CA57D 2021-08-04 [SC]
   27      AA72C11FDEB0D9B61053F0A8B0AD752D5C7CA57D
   28uid                   [ unknown] En Ayusri (Contoh) <e-mel@ydomain.com>
   29sub   rsa3072/0xA4756D32359086D7 2021-08-04 [E]

   Sekiranya ingin menandatangani dengan kunci selain daripada default-key (jika memiliki kunci berasingan sebagai contoh), tambahkan option -u key-id kepada arahan di atas.
   

    1$ gpg -o test-E.sig -u 0x0E98A0530779BF34 -r 0xB0AD752D5C7CA57D -s -e test.txt
    2gpg: A4756D32359086D7: There is no assurance this key belongs to the named user
    3
    4sub  rsa3072/A4756D32359086D7 2021-08-04 En Ayusri (Contoh) <e-mel@ydomain.com>
    5 Primary key fingerprint: AA72 C11F DEB0 D9B6 1053  F0A8 B0AD 752D 5C7C A57D
    6      Subkey fingerprint: 2316 5967 E33A 8548 9716  C32D A475 6D32 3590 86D7
    7
    8It is NOT certain that the key belongs to the person named
    9in the user ID.  If you *really* know what you are doing,
   10you may answer the next question with yes.
   11
   12Use this key anyway? (y/N) y
   13
   14$ ls | grep test
   15test-E.sig
   16test.txt

   Fail tandatangan test-E.sig yang terhasil itu kemudiannya boleh dihantarkan kepada penerima yang dimaksudkan. Setelah itu, penerima perlu menyahsulitkan fail test-E.sig tersebut untuk membaca mesej asalnya dengan arahan berikut:-

   gpg -o original.txt -d test-E.sig

   
   
   Info tambahan:

   
   Penerima tidak dapat menjalankan verifikasi ke atas fail yang telah ditandatangani dengan cara -s -e di atas. Hanya setelah penerima menyahsulitkan fail berkenaan, barulah penerima dapat melihat maklumat pengesahan/verifikasi bagi fail tersebut. Lihat contoh daripada imej-imej yang disertakan di bawah.
   
   Sepengetahuan saya, mesej memang sudah dinyahsulit dan dapat dibaca semasa proses di peringkat awal tadi serta pengesahan tentang kualiti mesej juga telah diperolehi sebelum kunci pemberi yang diimport itu diperakui. Cumanya proses memperakui itu dibuat atas dasar kepercayaan kita terhadap pemberi mesej.
2. Tandatangan dengan Penyulitan Separa.

   gpg -o test-C.sig --clearsign test.txt

   
   Tidak perlu masukkan recipient-key-id bagi cara ini kerana fail tidak dinyahsulitkan dengan cara penuh (melalui opsyen -e) seperti sebelum ini. Cara ini menghasilkan input di dalam fail test-C.sig dengan mesej asal juga terkandung di dalamnya sebelum baris tandatangan dalam bentuk Hash.
   Ha, inilah yang saya katakan sulit yang tidak berapa sulit. :laughing:
   Bagi mesej pendek, bolehlah baca saja terus daripada fail tandatangan yang terhasil dengan cara ini. Kalau mesejnya panjang sangat, lebih baik fail dinyahsulit juga supaya dapat baca teks dengan elok dan jelas. Cara menyahsulit fail sama seperti cara yang sudah ditunjukkan di atas.
   
   

    1$ gpg -o test-C.sig --clearsign test.txt
    2
    3$ cat test-C.sig
    4-----BEGIN PGP SIGNED MESSAGE-----
    5Hash: SHA256
    6
    7Salam dan hai, semua! Apa khabar?
    8-----BEGIN PGP SIGNATURE-----
    9
   10iQGzBAEBCAAdFiEEp1Lb2LsnW8pTdmfZDpigUwd5vzQFAmEKqUsACgkQDpigUwd5
   11vzR5pgv+KFChSML9/KPjcvqVqW5x9xC4XSfFqDlIrkQmeIg/LIIpGr1Y34Gk0Mu5
   12gIEMwyR/ijtJQGTRo6pwaBSxKkwSiRh9xFY7FG8KuiBFgC4+nNU58mBs5MXcoyWD
   13aKxncZEsl3OYQDS7gKeBfURqNDkHNDmFscP2Kp0Mmlj3+swEorZWw/lI1t5iCOeH
   14ylT5ugrctQliMIGBYEu7MK0tr/pTA3odLEPWd3nTgFh8Pfi2jSampdXBHiyxHF+L
   15NTbJURLs1Ffla/scPklynNLziXedNOssSidYKOj74kfLa6X4hKirXRH4oyoWYJIt
   16LxiIWCcCoPKMTIfSs3U09okwUZ8ChYdx27im3aXYtZrT3H/kmQ2oJPk5zFtdPM7T
   174IeLlm47955hJCkHMRm1cLlsb1kOg+arK6U+mKjViLKvG3uGe+SScOs8ATmVMhxv
   18KDxYe8xKuNiMZQBJ8X8hugrh8Apz3fXahMSYX+QTcPBs3vWM3XX/JNMZDKo4FY32
   198MfqMcTm
   20=Jfvq
   21-----END PGP SIGNATURE-----

Tandatangan hanya untuk proses Verifikasi

---

gpg -o test-D.sig -b test.txt

 1$ cat test.txt
 2Salam dan hai, semua! Apa khabar?
 3
 4$ gpg --verify test-D.sig test.txt
 5gpg: Signature made Wed 04 Aug 2021 10:54:22 PM +08
 6gpg:                using RSA key A752DBD8BB275BCA537667D90E98A0530779BF34
 7gpg: Good signature from "Pn Raihan (Contoh) <e-mel@wraihan.com>" [ultimate]
 8
 9$ cat test.txt
10Salam dan hai,semua! Apa khabar?
11
12$ gpg --verify test-D.sig test.txt
13gpg: Signature made Wed 04 Aug 2021 10:54:22 PM +08
14gpg:                using RSA key A752DBD8BB275BCA537667D90E98A0530779BF34
15gpg: BAD signature from "Pn Raihan (Contoh) <e-mel@wraihan.com>" [ultimate]

Penyulitan Fail

---

gpg -a -r recipient-key-id -e semua-pwd.txt

gpg -o orig-semua-pwd.txt -d semua-pwd.txt.asc