gpg-agent - Интернет в облаке

ПРОГРАММА:

ИМЯ

gpg-агент - Управление секретным ключом для GnuPG

СИНТАКСИС

gpg-агент [--homedir директория] [--параметры файл] [кредита]
gpg-агент [--homedir директория] [--параметры файл] [кредита] --сервер
gpg-агент [--homedir директория] [--параметры файл] [кредита] - демон [командная строка]

ОПИСАНИЕ

gpg-агент это демон для управления секретными (закрытыми) ключами независимо от любого протокола. Это
используется как бэкэнд для GPG и гпгсм а также для пары других утилит.

Агент автоматически запускается по запросу GPG, гпгсм, gpgconfили gpg-connect-агент.
Таким образом, нет причин запускать его вручную. Если вы хотите использовать прилагаемый Secure
Shell Agent вы можете запустить агент, используя:

gpg-connect-agent / пока

Вы всегда должны добавлять следующие строки в свой .bashrc или любой другой файл инициализации
используется для всех вызовов оболочки:

GPG_TTY = $ (tty)
экспорт GPG_TTY

Важно, чтобы эта переменная среды всегда отражала вывод терминал
команда. Для систем W32 эта опция не требуется.

Убедитесь, что по умолчанию установлена ​​подходящая программа pinentry.
имя файла (которое зависит от системы) или используйте опцию Pinentry-программа указать
полное название этой программы. Часто бывает полезно установить символическую ссылку с фактического
б / у пинентри (например, '/ usr / bin / pinentry-gtk') к ожидаемому (например,
"/ usr / bin / pinentry«).

КОМАНДЫ

Команды не отличаются от опций, за исключением того факта, что только одна команда
допускается.

--версия
Распечатайте версию программы и информацию о лицензировании. Обратите внимание, что вы не можете
сократите эту команду.

--Помогите

-h Распечатайте сообщение об использовании, в котором перечислены наиболее полезные параметры командной строки. Обратите внимание, что
вы не можете сокращать эту команду.

--dump-параметры
Распечатайте список всех доступных опций и команд. Обратите внимание, что вы не можете
сократите эту команду.

--сервер
Запустите в режиме сервера и дождитесь команд на STDIN. По умолчанию установлен режим
создать сокет и прослушивать там команды.

- демон [команду линия]
Запустите gpg-agent как демон; то есть отсоедините его от консоли и запустите в
фон.

В качестве альтернативы вы можете создать новый процесс как дочерний по отношению к gpg-agent: gpg-агент
- демон / Бен / ш. Таким образом вы получите новую оболочку с настройкой среды
должным образом; после выхода из этой оболочки gpg-agent завершает работу в течение нескольких
секунд.

ДОПОЛНИТЕЛЬНЫЕ УСЛУГИ, НЕ ВКЛЮЧЕННЫЕ В ПАКЕТ

--параметры файл
Считывает конфигурацию из файл вместо конфигурации по умолчанию для каждого пользователя
файл. Файл конфигурации по умолчанию называется 'gpg-agent.conf'и ожидалось в
".gnupg'прямо под домашним каталогом пользователя.

--homedir директория
Установите имя домашнего каталога на директория. Если этот вариант не используется, дом
каталог по умолчанию '~ / .gnupg'. Он распознается только при вводе команды
линия. Он также отменяет любой домашний каталог, указанный в переменной среды.
"ГНУПГХОМ'или (в системах Windows) с помощью записи в реестре
HKCU \ Программное обеспечение \ GNU \ GnuPG: HomeDir.

В системах Windows можно установить GnuPG как портативное приложение. В
в этом случае рассматривается только этот параметр командной строки, все другие способы установки дома
каталог игнорируются.

Чтобы установить GnuPG как портативное приложение под Windows, создайте пустое имя файла
"gpgconf.ctl'в том же каталоге, что и инструмент'gpgconf.exe'. Корень
установка чем этот каталог; или если 'gpgconf.exe' был установлен
непосредственно под каталогом с именем 'бункер', его родительский каталог. Вам также необходимо
убедитесь, что следующие каталоги существуют и доступны для записи: 'ROOT / home' для
дом GnuPG и 'КОРЕНЬ / var / cache / gnupg2'для файлов внутреннего кеша.

-v

--подробный
Выводит дополнительную информацию во время работы. Вы можете увеличить многословие на
давая несколько подробных команд гпгсм, например -vv.

-q

--тихий
Постарайтесь вести себя как можно тише.

--партия
Не вызывайте пинентри и не делайте ничего другого, требующего человеческого взаимодействия.

--faked-системное время эпоха
Эта опция полезна только для тестирования; он устанавливает системное время назад или вперед на
эпоха это количество секунд, прошедших с 1970 года.

- уровень отладки уровень
Выберите уровень отладки для исследования проблем. уровень может быть числовым значением или
ключевое слово:

никто Никакой отладки. Вместо
ключевое слово.

основной Некоторые основные отладочные сообщения. Вместо
ключевое слово.

продвинутый
Более подробные отладочные сообщения. Вместо
ключевое слово.

эксперту Еще более подробные сообщения. Вместо
ключевое слово.

гуру Все сообщения отладки, которые вы можете получить. Можно использовать значение больше 8
вместо ключевого слова. Разрешено только создание файлов трассировки хэшей.
если используется ключевое слово.

Как эти сообщения сопоставляются с фактическими флагами отладки, не указано и может
измените с более новыми выпусками этой программы. Однако они тщательно отбираются, чтобы
помощь в отладке.

--отлаживать Флаги
Эта опция полезна только для отладки, и ее поведение может измениться в любой момент.
без предупреждения. ФЛАГИ кодируются битами и могут быть заданы в обычном синтаксисе Си. В
в настоящее время определенные биты:

0 (1) Данные, относящиеся к протоколу X.509 или OpenPGP

1 (2) значения больших чисел целых чисел

2 (4) криптографические операции низкого уровня

5 (32) выделение памяти

6 (64) кэширование

7 (128)
показать статистику памяти.

9 (512)
записывать хешированные данные в файлы с именами dbgmd-000 *

10 (1024)
проследить Ассуанский протокол

12 (4096)
обходить все проверки сертификатов

--debug-все
Такой же как --debug = 0xffffffff

--debug-ждать n
При работе в режиме сервера подождите n секунд до входа в фактическую обработку
цикл и распечатайте pid. Это дает время для подключения отладчика.

--debug-быстро-случайный
Эта опция запрещает использование очень безопасного случайного уровня качества (Libgcrypt's
GCRY_VERY_STRONG_RANDOM) и снижает качество всех запросов до стандартного случайного качества.
Он используется только для тестирования и не должен использоваться для ключей качества продукции.
Эта опция эффективна, только если указана в командной строке.

--debug-pinentry
Эта опция включает дополнительную отладочную информацию, относящуюся к Pinentry. На данный момент
это полезно только при использовании вместе с --отлаживать 1024.

- без отсоединения
Не отключайте процесс от консоли. В основном это полезно для отладки.

-s

--ш

-c

--csh Отформатируйте вывод информации в режиме демона для использования со стандартной оболочкой Bourne или
C-shell соответственно. По умолчанию это угадывается на основе переменной окружения.
SHELL что верно почти во всех случаях.

- не хватать
Скажите pinentry, чтобы она не хваталась за клавиатуру и мышь. Эта опция должна быть в
вообще не может использоваться, чтобы избежать атак X-sniffing.

--лог-файл файл
Добавить весь вывод журнала в файл. Это очень помогает увидеть, что агент
действительно делает. Если ни файл журнала, ни дескриптор файла журнала не были установлены на
Платформа Windows, запись в реестре HKCU \ Software \ GNU \ GnuPG: DefaultLogFile, Если
set, используется для указания вывода журнала.

--no-allow-mark-trust
Не позволять клиентам помечать ключи как доверенные, т.е. помещать их в
"список доверия.txt' файл. Это затрудняет случайное принятие пользователями Root-
Ключи CA.

--allow-preset-пароль
Эта опция позволяет использовать gpg-предустановленная-парольная фраза для заполнения внутреннего кеша
gpg-агент с паролями.

--allow-loopback-pinentry
Разрешить клиентам использовать функции pinentry loopback; посмотреть вариант Pinentry-Mode
для получения информации.

--no-allow-внешний-кеш
Скажите Pinentry, чтобы она не включала функции, использующие внешний кеш для парольных фраз.

Некоторые среды рабочего стола предпочитают разблокировать все учетные данные с помощью одного мастер-пароля.
и, возможно, установили Pinentry, который использует дополнительный внешний кеш для
реализовать такую ​​политику. При использовании этой опции Pinentry не рекомендуется
использование такого кеша и вместо этого всегда запрашивать у пользователя запрошенную парольную фразу.

--allow-emacs-pinentry
Скажите Pinentry, чтобы позволить функциям перенаправлять ввод парольной фразы на работающий Emacs
пример. Как именно это делается, зависит от версии используемого Pinentry.

--ignore-cache-for-подписание
Этот вариант позволит gpg-агент обходить кеш парольной фразы для всех подписей
операция. Обратите внимание, что есть также параметр для каждого сеанса для управления этим поведением.
но этот параметр командной строки имеет приоритет.

--default-cache-ttl n
Установите время, в течение которого запись в кеше действительна n секунд. По умолчанию 600 секунд.
Каждый раз, когда осуществляется доступ к записи кэша, таймер записи сбрасывается. Чтобы установить запись
максимальный срок службы, использование макс-кеш-ttl.

--default-cache-ttl-ssh n
Установите время, в течение которого запись кэша, используемая для ключей SSH, действительна до n секунд. По умолчанию
1800 секунд. Каждый раз, когда осуществляется доступ к записи кэша, таймер записи сбрасывается. К
установить максимальное время жизни записи, используйте Макс-кеш-TTL-SSH.

--max-кэш-ttl n
Установите максимальное время, в течение которого запись в кеше действительна. n секунд. По истечении этого времени кеш
запись будет истекла, даже если к ней недавно обращались или она была установлена ​​с помощью
gpg-предустановленная-парольная фраза. По умолчанию - 2 часа (7200 секунд).

--max-кэш-ttl-ssh n
Установите максимальное время, в течение которого запись кэша, используемая для ключей SSH, действительна до n секунд. После
на этот раз запись в кеше истечет, даже если к ней недавно обращались или
был установлен с использованием gpg-предустановленная-парольная фраза. По умолчанию - 2 часа (7200 секунд).

--enforce-passphrase-ограничения
Обеспечьте соблюдение ограничений парольной фразы, не позволяя пользователю обходить их, используя
кнопку `` Все равно взять ''.

--мин-парольная фраза-len n
Установите минимальную длину ключевой фразы. При вводе новой кодовой фразы короче
чем это значение, будет отображаться предупреждение. По умолчанию 8.

--мин-пароль-нональфа n
Установите минимальное количество цифр или специальных символов, необходимых для ключевой фразы.
При вводе новой кодовой фразы с меньшим, чем это количество цифр или специальным
будет отображаться предупреждение. По умолчанию 1.

--check-пароль-шаблон файл
Сравните кодовую фразу с шаблоном, указанным в файл. При вводе нового
фраза-пароль, соответствующая одному из этих шаблонов, будет отображаться предупреждение. файл должен
быть абсолютным именем файла. По умолчанию файлы шаблонов не используются.

Примечание по безопасности: известно, что проверка парольной фразы по списку шаблонов или
даже против полного словаря не очень эффективно для обеспечения соблюдения хороших
парольные фразы. Пользователи скоро найдут способы обойти такую ​​политику. Лучше
политика заключается в обучении пользователей правильному поведению в области безопасности и, при желании, к запуску
взломщик парольных фраз регулярно обрабатывает парольные фразы всех пользователей, чтобы уловить очень простые
те.

--max-пароль-дней n
Попросите пользователя изменить парольную фразу, если n прошло дней с момента последнего изменения.
Доступно --enforce-passphrase-ограничения установить, что пользователь не может обойти эту проверку.

--enable-пароль-история
Эта опция пока ничего не делает.

--pinentry-invisible-char колесница
Эта опция просит Pinentry использовать колесница для отображения скрытых символов. колесница
должна быть односимвольной строкой UTF-8. Компания Pinentry может выполнить этот запрос, а может и не выполнить его.

--pinentry-тайм-аут n
Эта опция запрашивает у Pinentry тайм-аут после n секунд без ввода пользователем. В
значение по умолчанию 0 не запрашивает тайм-аут pinentry, однако Pinentry может использовать
в этом случае его собственное значение тайм-аута по умолчанию. Pinentry может уважать или не уважать это
запрос.

--пинентри-программа имя файла
Использовать программу имя файла как ввод PIN-кода. Значение по умолчанию зависит от установки.
В конфигурации по умолчанию имя пин-записи по умолчанию - 'Pinentry'; если
этот файл не существует, но есть 'Pinentry-Basic'существует последнее используется.

На платформе Windows по умолчанию используется первая существующая программа из этого
список: 'bin \ pinentry.exe','.. \ Gpg4win \ bin \ pinentry.exe','.. \ Gpg4win \ pinentry.exe»,
".. \ GNU \ GnuPG \ pinentry.exe','.. \ GNU \ bin \ pinentry.exe','bin \ pinentry-basic.exe"
где имена файлов относятся к каталогу установки GnuPG.

--pinentry-touch-файл имя файла
По умолчанию передается имя файла сокета, который gpg-agent прослушивает запросы.
в Pinentry, чтобы он мог коснуться этого файла перед выходом (это происходит только в
режим проклятий). Эта опция изменяет файл, переданный Pinentry, на имя файла,
специальное имя / DEV / нуль может использоваться для полного отключения этой функции. Обратите внимание, что
Pinentry не создаст этот файл, а только изменит модификацию и доступ.
времени.

--scdaemon-программа имя файла
Использовать программу имя файла как демон смарт-карт. По умолчанию это установка
зависимые и могут отображаться с gpgconf команда.

--disable-scdaemon
Не используйте инструмент scdaemon. Эта опция отключает
возможность выполнять операции со смарт-картами. Обратите внимание, что включение этой опции во время выполнения
не убивает уже разветвленный scdaemon.

--disable-check-собственный-сокет
gpg-агент использует периодическую самопроверку для обнаружения украденного гнезда. Это обычно
означает второй экземпляр gpg-агент взял на себя розетку и gpg-агент будете
затем прекратить сам себя. Эту опцию можно использовать, чтобы отключить самопроверку для
в целях отладки.

--использовать стандартную розетку

--no-use-standard-socket

--использовать стандартную розетку
Начиная с GnuPG 2.1 всегда используется стандартный сокет. У этих вариантов больше нет
эффект. Команда gpg-агент --использовать стандартную розетку таким образом всегда будет возвращаться
успех.

--отображать string

--ttyname string

--ttytype string

--lc-ctype string

--lc-сообщения string

--xавторитет string
Эти параметры используются в режиме сервера для передачи информации о локализации.

--keep-tty

- держать-дисплей
Игнорировать запросы на изменение текущего терминал или системы X Window ДИСПЛЕЙ переменная
соответственно. Это полезно, чтобы заблокировать окно, чтобы оно появлялось в терминал или дисплей
вы запустили агента.

--дополнительный сокет имя
Также прослушивайте нативные соединения gpg-agent на данном сокете. Предполагаемое использование
для этого дополнительного сокета необходимо настроить переадресацию сокета домена Unix с удаленного
машина к этому сокету на локальной машине. А GPG работает на удаленной машине
затем может подключиться к локальному gpg-агенту и использовать его закрытые ключи. Это позволяет
расшифровать или подписать данные на удаленном компьютере, не раскрывая закрытые ключи
удаленная машина.

--enable-ssh-поддержка

--enable-замазка-поддержка

Включите протокол агента OpenSSH.

В этом режиме работы агент не только реализует gpg-agent
протокол, но также и протокол агента, используемый OpenSSH (через отдельный сокет).
Следовательно, должна быть возможность использовать gpg-agent в качестве замены.
для известного ssh-агента.

Ключи SSH, которые будут использоваться через агент, необходимо добавить в gpg-agent.
изначально через утилиту ssh-add. Когда ключ добавлен, ssh-add запросит
пароль предоставленного ключевого файла и отправить незащищенный ключевой материал на
агент; это заставляет gpg-agent запрашивать парольную фразу, которая должна использоваться для
шифрование вновь полученного ключа и сохранение его в каталоге, специфичном для gpg-agent.

Как только ключ будет добавлен в gpg-agent таким образом, gpg-agent будет готов к
используйте ключ.

Примечание: если gpg-agent получает запрос подписи, пользователю может потребоваться
запрашивается кодовая фраза, необходимая для расшифровки сохраненного ключа. С
протокол ssh-agent не содержит механизма, сообщающего агенту, на каком
дисплей / терминал, на котором он запущен, ssh-support gpg-agent будет использовать TTY или X
отображение места запуска gpg-agent. Чтобы переключить этот дисплей на текущий
one можно использовать следующую команду:

gpg-connect-agent updatestartuptty / пока

Хотя все компоненты GnuPG пытаются запустить gpg-agent по мере необходимости, это невозможно.
для поддержки ssh, потому что ssh не знает об этом. Таким образом, если нет инструмента GnuPG, который
обращается к агенту был запущен, нет гарантии, что ssh может использовать gpg-agent
для аутентификации. Чтобы исправить это, вы можете запустить gpg-agent, если необходимо, используя этот простой
команда:

gpg-connect-agent / пока

Добавление --подробный показывает прогресс запуска агента.

Ассоциация --enable-замазка-поддержка доступен только под Windows и позволяет использовать gpg-agent
с реализацией ssh шпатлевка. Это похоже на обычную поддержку ssh-agent, но
использует очередь сообщений Windows в соответствии с требованиями шпатлевка.

Все длинные параметры также могут быть указаны в файле конфигурации после удаления
две ведущие черточки.

ПРИМЕРЫ

Важно установить переменную среды GPG_TTY в оболочке входа в систему, например
в '~ / .bashrc'сценарий инициализации:

экспорт GPG_TTY = $ (tty)

Если вы включили поддержку агента Ssh, вам также необходимо сообщить об этом ssh, добавив это в
ваш сценарий инициализации:

сбросить SSH_AGENT_PID
если ["$ {gnupg_SSH_AUTH_SOCK_by: -0}" -ne $$]; тогда
export SSH_AUTH_SOCK = "$ {HOME} /. gnupg / S.gpg-agent.ssh"
fi

Используйте gpg-agent онлайн с помощью сервисов onworks.net