Dernière modification 1 avril 2007
Avant d'aller plus loin, je vous invite à consulter ma page sur la cryptographie en guise d'introduction
Vous allez récupérer GnuPG sur www.gnupg.org, l'archive se
présente sous la forme d'un tarball gnupg-1.4.7.tar.bz2,
pour décompresser rien de plus simple:
tar xvfj gnupg-1.4.7.tar.bz2
Cela va créer un répertoire gnup-1.4.7 dans le répertoire courant. Dans ce répertoire tapez:
./configure
On tape maintenant
make
Et enfin en tant que root
make install
Cela va créer un répertoire /usr/local/share/gnupg contenant un fichier standard de configuration utilisateur qui va s'appeler options.skel ainsi qu'une FAQ au format html et les exécutables gpg et gpgv dans /usr/local/bin. Si ces chemins ne vous plaisent pas, taper:
./configure -help
Et retaper ./configure avec les arguments qui vont bien.
Par conséquent le point crucial du système est que vous ne communiquiez en aucun cas votre clé privée, vous devez faire en sorte que le fichier et répertoire contenant votre clé privée soient d'accès hautement restrictifs.
Le risque maintenant du système est que la clé publique du destinaire que vous détenez ne soit pas la bonne mais appartienne à quelqu'un d'autre, ou que quelqu'un se soit fait passer pour votre destinaire (ce qui revient au même) et ait donné sa clé publique. Pour parer à cela, il faut ABSOLUMENT être sûr sans la moindre ambiguïté que la clé publique que vous receviez soit bien celle de votre destinataire, pour cela vous devez certifier la clé publique, vous ne devez en aucun cas certifiez une clé publique si vous avez des doutes sur son origine.
GnuPG permet en outre de pouvoir s'authentifier ou d'authentifier des personnes. Pour s'authentifier, il suffit de crypter un message avec votre clé privée, n'importe qui possédant votre clé publique pourra alors le déchiffrer, comme vous êtes le seul à pouvoir émettre ce message, cela va vous authentifier parfaitement auprès des autres. Un risque cependant c'est que quelqu'un vous ait piqué votre clé privée.
Commentaire:
Vous avez sélectionné ce nom d'utilisateur:
"Olivier Hoarau <olivier.hoarau@funix.org>"
Changer le (N)om, le (C)ommentaire, l'(E)-mail ou (O)K/(Q)uitter ? O
Vous avez besoin d'une phrase de passe pour protéger votre
clé
secrète.
Entrez la phrase de passe:
Un grand nombre d'octets aléatoires doit être
généré. Vous devriez faire
autre-chose (taper au clavier, déplacer la souris, utiliser les
disques)
pendant la génération de nombres premiers; cela donne au
générateur de
nombres aléatoires une meilleure chance d'avoir assez d'entropie.
+++++.+++++.+++++..++++++++++.++++++++++.+++++.+++++
+++++++++++++++..+++++..++++++++++.+++++++++++++++.+
++++..+++++.+++++++++++++++++++++++++.++++++++++.......+++++
Un grand nombre d'octets aléatoires doit être
généré. Vous devriez faire
autre-chose (taper au clavier, déplacer la souris, utiliser les
disques)
pendant la génération de nombres premiers; cela donne au
générateur de
nombres aléatoires une meilleure chance d'avoir assez d'entropie.
++++++++++++++++++++.++++++++++++++++++++.++++++++
+++++++.++++++++++.++++++++++.+++++.+++++++++++++++
++++++++++.+++++.++++++++++.+++++++++++++++...+++++.+
++++>++++++++++>+++++..........>.....+++++..<.+++++...............
...........................................................<+++++......>+++++...................
..>+++++.....................<+++++...............................................................
............<+++++...>...+++++.......................................+++++^^^
gpg: /home/olivier/.gnupg/trustdb.gpg: base de confiance créée
gpg: clé B7FDA962 marquée comme ayant une confiance ultime.
les clés publique et secrète ont été créées et signées.
gpg: vérifier la base de confiance
gpg: 3 marginale(s) nécessaires, 1 complète(s) nécessaires, modèle
de confiance PGP
gpg: profondeur: 0 valide: 1 signé: 0
confiance: 0-. 0g. 0n. 0m. 0f. 1u
pub 1024D/B7FDA962 2006-04-29
Empreinte de la clé = B1F5 C583 2E3F 1BA4 4AFC C5BB 53F7 BFF2 B7FD A962
uid
Olivier Hoarau <olivier.hoarau@funix.org>
sub 2048g/8C6B179F 2006-04-29
Vous remarquerez qu'éventuellement on peut donner un temps de
validité pour la clé. Cela va créer dans votre
home
directory un répertoire .gnupg contenant votre
clé publique (pubring.gpg) et votre clé
privée (secring.gpg). Inutile de chercher à
éditer ces fichiers, c'est du binaire.
Attention, s'il existe une version préinstallé de GnuPG sur votre système, vous
pouvez soit la supprimer, l'écraser, ou alors spécifier
le chemin de gpg version 1.4.7
(/usr/local/bin pour une
installation par défaut).
Pour exporter une clé, maintenant rien de plus simple
gpg --export --armor > public-key-ohoarau.asc
[olivier@obelix temp]$ gpg --import public-key-vhoarau.asc
voilà le résultat
gpg: clé 2CB452D2:
clé publique « Véronique Hoarau
<veronique.hoarau@funix.org> » importée
gpg: Quantité totale traitée: 1
gpg:
importée: 1
Cette base de données de destinataires potentiels est dans votre répertoire .gnupg et se nomme trustdb.gpg (fichier binaire).
Pour afficher l'empreinte d'une clé, il suffit de taper:
gpg --fingerprint veronique
pub 1024D/2CB452D2 2007-04-01
Empreinte de la clé = 2F15 A16A 284A 347B B517 C6D5 9E39 979C 2CB4 52D2
uid
Véronique Hoarau <veronique.hoarau@funix.org>
sub 2048g/5776C745 2007-04-01
C'est quand même plus facile de vérifier avec l'empreinte.
[olivier@obelix olivier]$ gpg --sign-key veronique
voilà le résultat
pub 1024D/2CB452D2 créé: 2007-04-01 expire: jamais utilisation: SC
confiance: inconnu validité:
inconnu
sub 2048g/5776C745 créé: 2007-04-01 expire: jamais utilisation: E
[ inconnue] (1). Véronique Hoarau <veronique.hoarau@funix.org>
pub 1024D/2CB452D2 créé: 2007-04-01 expire: jamais utilisation: SC
confiance: inconnu validité:
inconnu
Empreinte de la clé principale: 2F15 A16A 284A 347B B517 C6D5 9E39 979C 2CB4 52D2
Véronique Hoarau <veronique.hoarau@funix.org>
Etes-vous vraiment sûr(e) que vous voulez signer cette clé
avec votre clé « Olivier Hoarau <olivier.hoarau@funix.org> » (83A7E9B7)
Signer réellement ? (o/N)
Vous avez besoin d'une phrase de passe pour déverrouiller la
clé secrète pour l'utilisateur: « Olivier Hoarau <olivier.hoarau@funix.org> »
clé de 1024 bits DSA, ID 83A7E9B7, créée le 2007-04-01
Entrez la phrase de passe:
Pour info la syntaxe de gpg avec l'option --sign-key est
gpg --sign-key UID
Avec UID une chaîne de caractére compris dans le nom de la personne ou son email.
On verra plus loin que ce n'est pas suffisant pour certifier une clé avec une confiance absolue.
[olivier@obelix olivier]$ gpg -sear veronique toto.txt
voilà le résultat
Vous avez besoin d'une phrase de passe pour déverrouiller la
clé secrète pour l'utilisateur: « Olivier Hoarau <olivier.hoarau@funix.org> »
clé de 1024 bits DSA, ID 83A7E9B7, créée le 2007-04-01
Entrez la phrase de passe:
gpg: vérifier la base de confiance
gpg: 3 marginale(s) nécessaires, 1 complète(s) nécessaires, modèle
de confiance PGP
gpg: profondeur: 0 valide: 1 signé: 1
confiance: 0-. 0g. 0n. 0m. 0f. 1u
gpg: profondeur: 1 valide: 1 signé: 0
confiance: 1-. 0g. 0n. 0m. 0f. 0
Avec les options :
- s pour certifier, en effet comme votre clé est
publique
n'importe qui pourrait se faire passer pour vous en vous empruntant
votre clé publique, dans ce cas il faut passer par
l'étaper de certification des clés publiques pour
déchiffrer les données.
- e pour chiffrer,
- a pour créer un fichier .asc prêt
à être envoyé en fichier attaché par email
- r suivi du destinataire du message
et enfin toto.txt le nom du fichier à chiffrer, celui
contenant:
________________________________
FUNIX - http://funix.free.fr
Mettez un pingouin dans votre PC
Cela va créer un fichier toto.txt.asc qui aura cette
tête là:
-----BEGIN PGP MESSAGE-----
Version: GnuPG v1.4.7 (GNU/Linux)
hQIOAyHK030iiG12EAf/bBo87wzNsobaoKusS13oEtaDy6BU4Nn56/ujOeelmimL
HqIJuVs/KhseIbC7hu20eSReyZqJ4dfbmdUZcWgWIXI2pZCyPkzKJm7YUhEGlgTT
c8cRd/Q+sB5xohjHv2+4+lYYOUC5gOHzi8vfUKK4yL9GS5kCSfeOPKtTab55ozc7
3yUerZXdQx/GWxJb2qsem2NkP+VG0iQ/QbXGLYl2Nyg/l+jtZ/fSPfSVRjLtL2Kj
(...)
1nsouDehNUHCYZzvWm7Ep36ugnQbyRcJBuEOy7DlVFbQHpRAVtmjzsFhsw7tMur6
Wm8fC78TBiTgukfHj+7vI2fN7IiSHmGGWAF372G9wY61c4EFSpP5OK2EPmX0Jqv8
m9KkAfwKz/orjEPZupeo2ojlTIM6nc8j/55F5WWB6xzozke0OwZrSwRsFzPQO5wz
E11tedOn5bHDJfBHakv0Gcck9uQnwmiLwOGxqsg7pmagHHkUb7BSrTejdnOA7HvK
X6hYzAANuB988jKJ3zxBIdE+TlaTgy0b9cpMGIU7ltZxTcvzm1B912z0yGoEKq3+
xB6q044HYzT61SElOqYhDdGDWb7SsM0=
=tLQT
-----END PGP MESSAGE-----
Dans le cas où la personne n'est pas certifiée cela donne cela:
[olivier@obelix olivier]$ gpg -sear benjamin signature
cela donne
Vous avez besoin d'une phrase de passe pour déverrouiller la
clé secrète pour l'utilisateur: « Olivier Hoarau <olivier.hoarau@funix.org> »
clé de 1024 bits DSA, ID 83A7E9B7, créée le 2007-04-01
gpg: 6D597A58: Rien ne dit que la clé appartient vraiment
à l'utilisateur
nommé.
pub 2048g/6D597A58 2005-08-08 Benjamin Hoarau
<benjamin.hoarau@free.fr>
Empreinte de la clé principale: 8038 48D2 2AAE 5655
535E 6FEB 9520 70B4 5F61 5291
Empreinte de la sous-clé:
DD3A 4CC8 9E1C E826 8663 C762 A5C7 3E2C 6D59 7A58
Il n'est PAS certain que la clé appartient à la personne
nomée dans
le nom d'utilisateur. Si vous savez *vraiment* ce que vous faites,
vous pouvez répondre oui à la prochaine question.
Utiliser cette clé quand même ? (o/N) o
[veronique@obelix temp]$ gpg -d toto.txt.asc
voilà le résultat
Vous avez besoin d'une phrase de passe pour déverrouiller la
clé secrète pour l'utilisateur: « Véronique Hoarau <veronique.hoarau@funix.org> »
clé de 2048 bits ELG-E, ID 5776C745, créée le 2007-04-01 (ID clé principale 2CB452D2)
Entrez la phrase de passe
gpg: chiffré avec une clé de 2048 bits ELG-E, ID 5776C745, créée le 2007-04-01
« Véronique Hoarau <veronique.hoarau@funix.org> »
________________________________
FUNIX - http://funix.free.fr
Mettez un pingouin dans votre PC
gpg: Signature faite le dim 01 avr 2007 12:13:04 CEST avec la clé DSA ID 83A7E9B7
gpg: Impossible de vérifier la signature: clé publique non trouvée
Vous constatez alors qu'on a le message Impossible de vérifier la signature: clé publique non trouvée car veronique n'a pas la clé publique d'olivier et donc n'a pu la certifier et donc même si elle peut déchiffrer le message, ne peut assurer que l'envoyeur est bien olivier. On va arranger cela, olivier doit lui donner sa clé publique, et veronique doit la mettre dans sa base de données.
gpg --import public-key-ohoarau.asc
Redéchiffrons le message pour voir maintenant:
Vous avez besoin d'une phrase de passe pour déverrouiller la
clé secrète pour l'utilisateur: « Véronique Hoarau <veronique.hoarau@funix.org> »
clé de 2048 bits ELG-E, ID 5776C745, créée le 2007-04-01 (ID clé principale 2CB452D2)
Entrez la phrase de passe
gpg: chiffré avec une clé de 2048 bits ELG-E, ID 5776C745, créée le 2007-04-01
« Véronique Hoarau <veronique.hoarau@funix.org> »
________________________________
FUNIX - http://www.funix.org
Mettez un pingouin dans votre PC
gpg: Signature faite le dim 01 avr 2007 12:13:04 CEST avec la clé DSA ID 83A7E9B7
gpg: Bonne signature de « Olivier Hoarau <olivier.hoarau@funix.org> »
gpg: ATTENTION: Cette clé n'est pas certifiée avec une signature de confiance !
gpg:
Rien ne dit que la signature appartient à son
propriétaire.
Empreinte de clé principale: 112C 669C 28C8 75AF 5B17 7167 2F89 6D51 83A7 E9B7
La clé publique n'étant pas certifiée par veronique, on est absolument pas sûr qu'elle appartienne bien à olivier. Cependant si veronique est absolument sûre qu'olivier est bien le propriétaire de cette clé publique, elle peut la certifier en faisant:
gpg --sign-key olivier
Redéchiffrons à nouveau notre fameux message
[veronique@obelix temp]$ gpg -d toto.txt.asc
voilà le résultat
Vous avez besoin d'une phrase de passe pour déverrouiller la
clé secrète pour l'utilisateur: « Véronique Hoarau <veronique.hoarau@funix.org> »
clé de 2048 bits ELG-E, ID 5776C745, créée le 2007-04-01 (ID clé principale 2CB452D2)
Entrez la phrase de passe
gpg: chiffré avec une clé de 2048 bits ELG-E, ID 5776C745, créée le 2007-04-01
« Véronique Hoarau <veronique.hoarau@funix.org> »
________________________________
FUNIX - http://www.funix.org
Mettez un pingouin dans votre PC
gpg: Signature faite le dim 01 avr 2007 12:13:04 CEST avec la clé DSA ID 83A7E9B7
gpg: vérifier la base de confiance
gpg: 3 marginale(s) nécessaires, 1 complète(s) nécessaires, modèle
de confiance PGP
gpg: profondeur: 0 valide: 1 signé: 1
confiance: 0-. 0g. 0n. 0m. 0f. 1u
gpg: profondeur: 1 valide: 1 signé: 0
confiance: 1-. 0g. 0n. 0m. 0f. 0u
gpg: Bonne signature de « Olivier Hoarau <olivier.hoarau@funix.org> »
Le doute subsiste même si on a certifié sans ambiguité l'authenticité de la clé publique, il manque la signature de confiance. Pour ce faire, on doit taper :
[veronique@asterix temp]$ gpg --edit-key olivier
voilà le résultat
gpg (GnuPG) 1.4.7; Copyright (C) 2006 Free Software Foundation, Inc.
This program comes with ABSOLUTELY NO WARRANTY.
This is free software, and you are welcome to redistribute it
under certain conditions. See the file COPYING for details.
pub 1024D/83A7E9B7 créé: 2007-04-01 expire: jamais utilisation: SC
confiance: inconnu validité:
entière
sub 2048g/9B601F37 créé: 2007-04-01 expire: jamais utilisation: E
[ entière ] (1). Olivier Hoarau <olivier.hoarau@funix.org>
Commande> sign
« Olivier Hoarau <olivier.hoarau@funix.org> » a
déjà été signé par la clé
2CB452D2
Rien à signer avec la clé 2CB452D2
Commande> trust
pub 1024D/83A7E9B7 créé: 2007-04-01 expire: jamais utilisation: SC
confiance: inconnu validité:
entière
sub 2048g/9B601F37 créé: 2007-04-01 expire: jamais utilisation: E
[ entière ] (1). Olivier Hoarau <olivier.hoarau@funix.org>
Décidez maintenant à quel point vous avez confiance en cet utilisateur
pour qu'il vérifie les clés des autres utilisateurs (vous pouvez
vérifier son passeport, vérifier les empreintes de plusieurs sources
différentes, etc.)
1 = ne sais pas ou ne dirai pas
2 = je ne fais PAS confiance
3 = je crois marginalement
4 = je fais entièrement confiance
5 = je donne une confiance ultime
m = retour au menu principal
Votre décision ? 5
Voulez-vous vraiment donner une confiance ultime à cette
clé ? (o/N) o
pub 1024D/83A7E9B7 créé: 2007-04-01 expire: jamais utilisation: SC
confiance: ultime
validité: entière
sub 2048g/9B601F37 créé: 2007-04-01 expire: jamais utilisation: E
[ entière ] (1). Olivier Hoarau <olivier.hoarau@funix.org>
Notez que la validité affichée pour la clé n'est pas nécessairement
correcte tant que vous n'avez pas relancé le programme.
Commande> quit
On rédécrypte maintenant le fichier
[veronique@asterix temp]$ gpg -d toto.txt.asc
voilà le résultatVous avez besoin d'une phrase de passe pour déverrouiller la
clé secrète pour l'utilisateur: « Véronique Hoarau <veronique.hoarau@funix.org> »
clé de 2048 bits ELG-E, ID 5776C745, créée le 2007-04-01 (ID clé principale 2CB452D2)
Entrez la phrase de passe:
gpg: chiffré avec une clé de 2048 bits ELG-E, ID 5776C745, créée le 2007-04-01
« Véronique Hoarau <veronique.hoarau@funix.org> »
________________________________
FUNIX - http://www.funix.org
Mettez un pingouin dans votre PC
gpg: Signature faite le dim 01 avr 2007 12:13:04 CEST avec la clé DSA ID 83A7E9B7
gpg: vérifier la base de confiance
gpg: 3 marginale(s) nécessaires, 1 complète(s) nécessaires, modèle
de confiance PGP
gpg: profondeur: 0 valide: 2 signé: 0
confiance: 0-. 0g. 0n. 0m. 0f. 2u
gpg: Bonne signature de « Olivier Hoarau <olivier.hoarau@funix.org> »
Cette fois-ci c'est bon !
Veronique Hoarau
veronique.hoarau@fnac.net
Puis taper
gpg -sa signature
voilà le résultat
Vous avez besoin d'une phrase de passe pour déverrouiller la
clé secrète pour l'utilisateur: « Véronique Hoarau <veronique.hoarau@funix.org> »
clé de 1024 bits DSA, ID 2CB452D2, créée le 2007-04-01
Entrez la phrase de passe:
Cela va crypter le fichier avec votre clé privée et donner le fichier signature.asc, n'importe qui pourra le déchiffrer avec votre clé publique.
Maintenant si vous voulez authentifier quelqu'un qui vous a envoyé sa signature crypté avec sa clé privée, il vous faudra sa clé publique et taper:
[olivier@obelix temp]$ gpg --verify signature.asc
voilà le résultat
gpg: Signature faite le dim 01 avr 2007 12:25:46 CEST avec la clé DSA ID 2CB452D2
gpg: Bonne signature de « Véronique Hoarau <veronique.hoarau@funix.org> »
Au message Bonne signature on voit bien que la signature appartient bien à la personne dont vous avez la clé publique. Vous pouvez obtenir des warnings dans le cas où la personne n'est pas certifiée.
D'une autre manière quand vous récupérerez des
fichiers sous internet (des packages par exemple), c'est un bon moyen
de
voir que la package vient bien du créateur et n'est pas un
package détournée avec des backdoors à
l'intérieur.
Ainsi on peut trouver le tarball de GnuPG signé, ainsi
que la clé publique du projet GnuPG (fichier samplekeys.asc
qu'on trouve sous ./gnupg-1.4.7/doc), vous pouvez ainsi
authentifier l'origine du package avec le fichier signature qu'on peut
trouver en téléchargement sur le site de GnuPG, tout d'abord il faut importer la clé publique de GnuPG
et maintenant pour vérifier l'intégrité de l'archive on tapera
gpg --verify gnupg-1.4.7.tar.bz2.sig
cela donne cela
gpg: Signature faite le lun 05 mar 2007 10:54:17 CET avec la clé RSA ID 1CE0C630
gpg: Bonne signature de « Werner Koch (dist sig) <dd9jn@gnu.org> »
gpg: ATTENTION: Cette clé n'est pas certifiée avec une signature de confiance !
gpg:
Rien ne dit que la signature appartient à son
propriétaire.
Empreinte de clé principale: 7B96 D396 E647 1601 754B E4DB 53B6 20D0 1CE0 C630
Les fichiers gnupg-1.4.7.tar.bz2.sig et gnupg-1.4.7.tar.bz2 doivent se trouver dans le même répertoire.
gpg --list-key
voilà le résultat
/export/home/olivier/.gnupg/pubring.gpg
---------------------------------------
pub 1024D/83A7E9B7 2007-04-01
uid
Olivier Hoarau <olivier.hoarau@funix.org>
sub 2048g/9B601F37 2007-04-01
pub 1024D/2CB452D2 2007-04-01
uid
Véronique Hoarau <veronique.hoarau@funix.org>
sub 2048g/5776C745 2007-04-01
pub 1024D/5F615291 2005-08-08
uid
Benjamin Hoarau <benjamin.hoarau@free.fr>
sub 2048g/6D597A58 2005-08-08
Pour supprimer une clé publique d'un utilisateur (si par
exemple on lui a volé sa clé privée)
gpg --delete-key UID
Editer la clé publique d'un utilisateur particulier
gpg --edit-key UID
| [Retour page d'accueil] | [Retour haut de la page] |