GPG Quick Reference

Tutti i file generati per default da gpg sono binari. Se si vogliono generare file di testo (ASCII), usare l'opzione aggiuntiva -a oppure –armor.

Tutte le volte che dovremo decodificare o firmare un file/messaggio e tutte le volte che dovremo firmare una chiave, ci sarà richiesto di specificare la passphrase in quanto sarà necessario utilizzare la nostra chiave privata.

• Creazione della propria chiave GPG:

  gpg --gen-key 

• Lista delle chiavi pubbliche presenti nel portachiavi:

  gpg --list-keys 

• Lista delle chiavi pubbliche e rispettiva fingerprint:

  gpg --fingerprint 

• Fingerprint della propria chiave pubblica (utile per stampare i promemoria da scambiarsi ai key signing parties):

  gpg --fingerprint <mio_id> 

• Esportazione della propria chiave pubblica (o un'altra presente nel portachiavi) in un file:

  gpg --export <mio_id> > miachiave.gpg
  gpg -a --export <mio_id> > miachiave.asc 

• Esportazione e caricamento della propria chiave pubblica in un keyserver (supponiamo pgp.mit.edu):

  gpg --keyserver pgp.mit.edu --send-key <mio_id> 

• Importazione di una chiave pubblica (supponiamo quella di fabiux) residente in un file (il file può essere binario o ASCII):

  gpg --import fabiux.asc 

• Importazione di una chiave pubblica (supponiamo quella di fabiux) da un keyserver (supponiamo pgp.mit.edu):

  gpg --keyserver pgp.mit.edu --recv-key fabiux 

• Firma di una chiave pubblica (supponiamo quella di fabiux):

  gpg --edit-key fabiux 

per entrare in modalità interattiva e successivamente dare il comando

  sign 

• Crittografia di un messaggio (o di un file) in modalità store (chiunque può decodificarlo):

  gpg -store <file_da_crittografare>
  gpg -a -store <file_da_crittografare> 

• Crittografia di un messaggio (o di un file) per uno o più utenti (solo essi potranno decodificarlo):

  gpg -e <file_da_crittografare>
  gpg -a -e <file_da_crittografare> 

Specificare gli id degli utenti destinatari del messaggio quando richiesto. Non dimenticare di includere se stessi, tra i destinatari, se si vuole essere in grado di decodificare il messaggio. Per fare in modo che ogni messaggio sia codificato per default anche per noi stessi, aggiungere la seguente riga al file ~.gnupg/options:

  # Always encrypt to myself too (useful using Mutt)
  encrypt-to <mio_id> 

• Decodifica di un messaggio crittografato a noi destinato:

  gpg <file_da_decodificare> 

• Firma di un messaggio o di un file:

  gpg --sign <file_da_firmare> 

• Firma di un messaggio senza codifica dello stesso:

  gpg -a --clearsign <file_da_firmare> 

• File contenente la firma di un messaggio (detached):

  gpg -a -b <file_da_firmare> 

• Verifica della firma di un documento o di un file (dobbiamo essere in possesso della chiave pubblica del firmatario):

  gpg <file_da_verificare> 

Supponiamo di essere in possesso della chiave pubblica di fabiux e di averla importata nel nostro portachiavi. Non abbiamo mai incontrato di persona fabiux, siamo in grado di verificare la firma dei suoi messaggi ma non abbiamo certezza della sua identità. Finché, un bel giorno…

1. Incontriamo fabiux il quale ci fornisce la fingerprint della sua chiave e ci dimostra la sua identità.
2. Verifichiamo con cura la fingerprint della chiave pubblica di fabiux (già in nostro possesso) con quella che il losco individuo ci ha appena fornito. Le due fingerprint devono coincidere.
3. Certi della genuinità della chiave in nostro possesso, ne dichiariamo l'autenticità firmandola.
4. Esportiamo la chiave pubblica di fabiux, che ora contiene anche la nostra nuova firma, e gliela facciamo pervenire (ad esempio come allegato di un messaggio di posta elettronica).
5. fabiux riceve la chiave firmata e la importa nel suo portachiavi. La sua chiave pubblica contiene ora una nuova firma.
6. fabiux esporta la sua nuova chiave pubblica e la carica sui suoi keyserver preferiti.

In modo del tutto reciproco possiamo procedere noi, nei confronti di fabiux, per ottenere la sua firma sulla nostra chiave pubblica. Link utili.

• Sito ufficiale di GnuPG: http://www.gnupg.org
• Manuale GNU sulla privacy (ottima guida introduttiva): http://www.gnupg.org/gph/it/index.html
• GPG Key Signing Party HOWTO in italiano (traduzione di Cristian Rigamonti)
• Biglumber
• PGP pathfinder & key statistics dell'Università di Utrecht.