Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
| Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung | ||
| public:gnupg:gnupg-card-howto [2015/02/27 23:11] – [Nutzung für Luks] ungewitter | public:gnupg:gnupg-card-howto [2024/07/29 11:40] (aktuell) – [Hauptkey mit Subkeys] jankow@datenkollektiv.net | ||
|---|---|---|---|
| Zeile 2: | Zeile 2: | ||
| <WRAP center round box> | <WRAP center round box> | ||
| + | |||
| ===== Andere Anleitungen ===== | ===== Andere Anleitungen ===== | ||
| Zeile 8: | Zeile 9: | ||
| * [[http:// | * [[http:// | ||
| * [[http:// | * [[http:// | ||
| - | * | + | * |
| ==== Best Practice (Nutzung von Haupt- und Subkeys) für gnupg ==== | ==== Best Practice (Nutzung von Haupt- und Subkeys) für gnupg ==== | ||
| - | * http:// | + | * [[http:// |
| - | * http:// | + | * [[http:// |
| - | * http:// | + | * [[http:// |
| - | * https:// | + | * [[http:// |
| - | * http:// | + | * [[https:// |
| + | * [[http:// | ||
| </ | </ | ||
| + | |||
| + | ===== Nutzung der Gnupg Card ===== | ||
| + | |||
| + | * Die verschiedenen [[: | ||
| ===== Grundsätzliche Infos über Smart Cards ===== | ===== Grundsätzliche Infos über Smart Cards ===== | ||
| Zeile 24: | Zeile 32: | ||
| Es gibt zwei unterschiedliche Konzepte: | Es gibt zwei unterschiedliche Konzepte: | ||
| - | * Die "pki cards" (PKCS#11), siehe hier: [[https:// | + | * Die "pki cards" (PKCS#11), siehe hier: [[https:// |
| - | * und die vor allem unter Linux sehr gut nutzbaren Gnupg-Cards [[https:// | + | * und die vor allem unter Linux sehr gut nutzbaren Gnupg-Cards [[https:// |
| Während erstere den Quasi-Standard für x509 Zertfikate und eine [[http:// | Während erstere den Quasi-Standard für x509 Zertfikate und eine [[http:// | ||
| Zeile 31: | Zeile 39: | ||
| Ähnliche Konzpete verfolgen auch | Ähnliche Konzpete verfolgen auch | ||
| - | * der [[http:// | + | * der [[http:// |
| + | - eine Mischung aus USB-smartcard und One-Time-Password Generator | ||
| * und der [[https:// | * und der [[https:// | ||
| Zeile 40: | Zeile 49: | ||
| Unterschiede der verschiedenen Systeme: | Unterschiede der verschiedenen Systeme: | ||
| - | | **System** | **Vorteile** | **Nachteile**| | + | |**System** |**Vorteile** |**Nachteile** | |
| - | | Gnupg Card | Karten leicher erhältlich und preiswerter. Unterstützung unter Linux einfacher | Authentifizierung mit Clients wie Thunderbird etc. nicht so einfach | + | |Gnupg Card|Karten leicher erhältlich und preiswerter. Unterstützung unter Linux einfacher|Authentifizierung mit Clients wie Thunderbird etc. nicht so einfach| |
| - | | PKCS#11 | De Facto Standard | komplizierter in der Einrichtung, | + | |PKCS#11|De Facto Standard|komplizierter in der Einrichtung, |
| - | Vor- und Nachteile sind z.B. hier diskutiert worden: http:// | + | Vor- und Nachteile sind z.B. hier diskutiert worden: |
| </ | </ | ||
| Zeile 57: | Zeile 66: | ||
| * einen kompatiblen [[https:// | * einen kompatiblen [[https:// | ||
| - | Beides ist am einfachsten | + | Beides ist am einfachsten |
| ===== Software installieren ===== | ===== Software installieren ===== | ||
| Zeile 64: | Zeile 72: | ||
| Als erstes installieren wir die Software. Wichtig: die gnupg-card funktioniert nur mit gnupg Version 2. | Als erstes installieren wir die Software. Wichtig: die gnupg-card funktioniert nur mit gnupg Version 2. | ||
| - | | + | < |
| + | apt-get install gnupg2 scdaemon gpgsm pcscd | ||
| + | </ | ||
| <WRAP center round box> | <WRAP center round box> | ||
| Wenn der [[http:// | Wenn der [[http:// | ||
| - | | + | < |
| + | apt-get install gnupg-pkcs11-scd | ||
| + | </ | ||
| </ | </ | ||
| ===== Card-Reader einrichten ===== | ===== Card-Reader einrichten ===== | ||
| - | |||
| In der [[https:// | In der [[https:// | ||
| - | <WRAP center round info> | + | <WRAP center round info> Unter Debian Wheezy war das für den Gemalteo Shell Token nicht nötig. Der Card-Reader funktionierte nach der Installation der Software "Out of the Box" |
| - | Unter Debian Wheezy war das nicht nötig. Der Card-Reader funktionierte nach der Installation der Software "Out of the Box". | + | |
| - | </ | + | |
| Das Device des Card-Readers muss die richtigen Dateirechte erhalten, damit die User darauf zugreifen können. Das erfolgt mittels udev und wird [[http:// | Das Device des Card-Readers muss die richtigen Dateirechte erhalten, damit die User darauf zugreifen können. Das erfolgt mittels udev und wird [[http:// | ||
| Zeile 85: | Zeile 96: | ||
| Als schneller Workaroundzum Testen oder zur Nutzung innerhalb von Live-Systemen (zur sicheren Generierung der Schlüssel) kann das folgendermaßen getan werden | Als schneller Workaroundzum Testen oder zur Nutzung innerhalb von Live-Systemen (zur sicheren Generierung der Schlüssel) kann das folgendermaßen getan werden | ||
| - | | + | < |
| - | Bus 001 Device 008: ID ... Card-Reader .... | + | lsusb |
| - | + | Bus 001 Device 008: ID ... Card-Reader .... | |
| + | </ | ||
| damit wissen wir die Bus und Device ID: | damit wissen wir die Bus und Device ID: | ||
| - | | + | < |
| - | + | ls -l / | |
| - | als temporärer Workaround: | + | </ |
| - | | + | als temporärer Workaround: |
| + | |||
| + | < | ||
| + | chmod 666 / | ||
| + | </ | ||
| ===== Schlüssel erzeugen und auf Karte transferrieren ===== | ===== Schlüssel erzeugen und auf Karte transferrieren ===== | ||
| Zeile 105: | Zeile 122: | ||
| ==== Hauptkey mit Subkeys ==== | ==== Hauptkey mit Subkeys ==== | ||
| - | * Eine ausführlichere Anleitung (incl. Backup der keys findet sich hier: http:// | + | * Eine ausführlichere Anleitung (incl. Backup der keys findet sich hier: [[http:// |
| - | Das Generieren der Schlüsselpaare findet vorzugsweise auf einem [[http:// | + | Das Generieren der Schlüsselpaare findet vorzugsweise auf einem [[http:// |
| * vertrauensvolle Hardware | * vertrauensvolle Hardware | ||
| - | * Live-System möglichst ohne Netzwerkverbindungen | + | * Live-System möglichst ohne Netzwerkverbindungen |
| - | + | ||
| - | Ein angepasstes Live-System mit aller nötigen Software sowohl zum Erzeugen der Keys als auch für die Verwendung der Gnupg-Karte kann beim [[kontakt@datenkollektiv.net|Datenkollektiv]] bestellt werden. | + | |
| - | + | ||
| - | Ihr erhaltet einen Bootbaren USB-Stick mit | + | |
| - | + | ||
| - | * angepasstem xfce4 Desktop und allen nötigen Crypto-Tools | + | |
| - | * einer zusätzlichen LUKS-verschlüsselten Partition, die z.B. für die Backups der privaten Schlüssel dienen kann. | + | |
| === Hauptschlüssel-Paar generieren: === | === Hauptschlüssel-Paar generieren: === | ||
| Zeile 125: | Zeile 135: | ||
| Als erstes wird der Hauptschlüssel erstellt, der nur zum Signieren der Unterschlüssel dient: | Als erstes wird der Hauptschlüssel erstellt, der nur zum Signieren der Unterschlüssel dient: | ||
| - | gpg2 --gen-key | + | < |
| - | + | gpg --full-generate-key | |
| + | </ | ||
| Bei der Auswahl: | Bei der Auswahl: | ||
| - | | + | |
| + | < | ||
| + | RSA (sign only) | ||
| + | </ | ||
| * ggf. unbegrenzte Haltbarkeit | * ggf. unbegrenzte Haltbarkeit | ||
| Zeile 136: | Zeile 151: | ||
| Mit | Mit | ||
| - | | + | < |
| + | gpg --list-keys | ||
| + | </ | ||
| finden wir unsere neue Key-ID heraus. Diese nutzen wir nun zum Editieren des Schlüssels: | finden wir unsere neue Key-ID heraus. Diese nutzen wir nun zum Editieren des Schlüssels: | ||
| - | | + | < |
| + | gpg --expert --edit-key KEYIDXYZ | ||
| + | </ | ||
| Im Anschluss generieren wir drei Subkeys für folgende Zwecke: | Im Anschluss generieren wir drei Subkeys für folgende Zwecke: | ||
| Zeile 148: | Zeile 167: | ||
| - Authentifizieren | - Authentifizieren | ||
| - | | + | < |
| + | gpg> | ||
| + | </ | ||
| - | legt einen neuen Subschlüssel an. Wir müssen jetzt je einen zum Signieren, Verschlüsseln und Authentifizieren anlegen, d.h. die folgende Prozedur wird **dreimal** wiederholt. | + | legt einen neuen Subschlüssel an. Wir müssen jetzt je einen zum Signieren, Verschlüsseln und Authentifizieren anlegen, d.h. die folgende Prozedur wird **dreimal** |
| Bei der folgenden Auswahl: | Bei der folgenden Auswahl: | ||
| Zeile 169: | Zeile 190: | ||
| Jetzt kann mit den angegebenen Buchstaben jeweils eine Fähigkeit zu- oder abgeschaltet werden. | Jetzt kann mit den angegebenen Buchstaben jeweils eine Fähigkeit zu- oder abgeschaltet werden. | ||
| - | Zuletzt sichert ein | + | Zuletzt sichert ein |
| - | | + | < |
| + | gpg> save | ||
| + | </ | ||
| unsere Änderungen. | unsere Änderungen. | ||
| + | |||
| + | ==== Backup ==== | ||
| + | |||
| + | Dieser Schritt muss unbedingt vorgenommen werden, **bevor** | ||
| + | |||
| + | * Der gesamte Keyring (Unterverzeichnis .gnupg) sollte nach der Prozedur auf ein verschlüsseltes Medium bzw. in einem Container gesichert werden. | ||
| + | |||
| + | * eine weitere Variante zum Backup von Keys ist [[http:// | ||
| + | - ein Programm um ausdruckbare Daten zu erhalten und den key auf Papier auszudrucken. | ||
| ==== Schlüssel auf die Gnupg-Karte kopieren ==== | ==== Schlüssel auf die Gnupg-Karte kopieren ==== | ||
| + | |||
| + | <WRAP center round important> | ||
| Im nächsten Schritt kopieren wir unsere Subkeys auf die gnupg-Karte. Hierfür benötigen wir das Passwort für den geheimen Hauptschlüssel und die Admin-Pin für die Karte. | Im nächsten Schritt kopieren wir unsere Subkeys auf die gnupg-Karte. Hierfür benötigen wir das Passwort für den geheimen Hauptschlüssel und die Admin-Pin für die Karte. | ||
| - | | + | < |
| + | gpg --expert --edit-key KEYIDXYZ | ||
| + | </ | ||
| Ein | Ein | ||
| - | | + | < |
| + | gpg> toggle | ||
| + | </ | ||
| schaltet in die Ansicht der privaten Schlüssel um. | schaltet in die Ansicht der privaten Schlüssel um. | ||
| Zeile 189: | Zeile 227: | ||
| Jetzt markieren wir der Reihe nach unsere Subkeys: | Jetzt markieren wir der Reihe nach unsere Subkeys: | ||
| - | | + | < |
| + | gpg> key 1 | ||
| + | </ | ||
| und kopieren sie auf die Karte: | und kopieren sie auf die Karte: | ||
| - | | + | < |
| + | gpg> keytocard | ||
| + | </ | ||
| Das wiederholen wir jetzt mit Schlüssel 2 u. 3. (Die Schlüssel müssen jeweils wieder entsperrt werden.) | Das wiederholen wir jetzt mit Schlüssel 2 u. 3. (Die Schlüssel müssen jeweils wieder entsperrt werden.) | ||
| Zeile 201: | Zeile 243: | ||
| Den öffentlichen Schlüssel (der nicht auf der Karte gespeichert ist) exportieren wir auf ein zugängliches Medium oder zu einem Keyserver. Wir brauchen diesen später. | Den öffentlichen Schlüssel (der nicht auf der Karte gespeichert ist) exportieren wir auf ein zugängliches Medium oder zu einem Keyserver. Wir brauchen diesen später. | ||
| - | | + | < |
| + | gpg --export --armor KEYID> public_key.asc | ||
| + | </ | ||
| - | ===== Backup ===== | + | ==== Geheimen Schlüsselbund auf den Nutzer_innen Rechnern erstellen |
| - | * Der gesamte Keyring (Unterverzeichnis .gnupg) sollte nach der Prozedur | + | Auch wenn die geheimen Schlüssel nun auf der Karte sind - und nicht auf den jeweiligen Computern: dennoch muss ein Schlüsselbund mit den Verweisen auf die geheimen Schlüsseln auf die Karte erstellt |
| - | * eine weitere Variante zum Backup | + | Während bei Smartcards, die von '' |
| - | ===== Nutzung der Gnupg-Card ===== | + | < |
| + | gpg --card-status | ||
| + | </ | ||
| - | Die Gnupg-Card kann vielfältig genutzt werden: | + | reicht, um Verweise auf die Karte zu generieren, muss bei '' |
| - | * Authentifizieren: | + | < |
| - | * Login auf lokalen oder (per ssh) entfernten Servern | + | gpg2 --secret-keyring |
| - | * Signieren und Verschlüsseln von E-Mails und Dateien | + | </ |
| - | * In Zusammenarbeit mit Passwort-Managern als sichere Möglichkeit, | + | |
| - | ==== Verschlüsseln und Signieren ==== | + | in manchen Fällen funktioniert dies jedoch nur über den internen Befehl '' |
| - | Die Nutzung der GPG-Funktion funktioniert genau wie gewohnt. Für die Nutzung ist es allerdings noch notwendig, den öffentlichen Schlüssel der beim Erstellen des Schlüsselpaares gewonnen wurde in den jeweiligen Keyring zu kopieren. Auf der Karte selbst sind nur die privaten Schlüssel. | + | < |
| + | $ gpg2 --card-edit | ||
| + | ... | ||
| + | gpg/ | ||
| + | ... | ||
| + | gpg: Total number processed: 1 | ||
| + | gpg: | ||
| + | $ gpg2 --card-status | ||
| + | ... | ||
| + | </ | ||
| - | ==== Login und Authentifizierung ==== | + | <WRAP center round tip 60%> Übrigens bei einer Erweiterung des öffentlichen Schlüssels mit neuen Schlüsseln, |
| - | === Login in lokalen Linux-Rechner | + | ==== Karte wechseln ==== |
| - | Die Linux-Pam und die verschiedenen Session-Manager können mit GnuPG-Card umgehen. | + | Beim Ersetzen einer Karte muss folgendes beachtet werden: |
| - | * http://www.schiessle.org/howto/poldi.php | + | |
| + | < | ||
| + | - seit [[https://www.gnupg.org/faq/ | ||
| + | - Die zu den privaten Keys der Karte passenden Verweise müssen aus '' | ||
| + | - Danach müssen die Verweise auf die neue Karte wieder erstellt werden: '' | ||
| - | Die dort verwendeten Optionen für poldi-ctrl scheinen in der wheezy-Version noch nicht zu existieren. Folgendes Information hilft weiter: | + | **Anzeigen |
| - | * http://walter.silvergeeks.com/rechner/howto/how-to-anmeldung-mit-smart-card-oder-usb-token-am-lokalen-linux-system/ | + | Das ist hier von Werner beschrieben: |
| - | **Einrichten des Poldi-Moduls:** | + | gpg --with-keygrip -k KEYID |
| - | Das Packet muss installiert werden: | + | Die ausgegebenen Keygrips beziehen sich auf die Dateien unter: '' |
| - | apt-get install libpam-poldi | + | |
| - | + | ||
| - | Ein | + | |
| - | | + | |
| - | testet, ob die Karte erkannt wird. | + | **Achtung: immer Backup des .gnupg-Verzeichnisses machen, damit nicht aus Versehen andere secret Keys gelöscht werden.** |
| - | + | ===== Stolperstellen ===== | |
| - | Mit | + | |
| - | poldi-ctrl -s | + | gnupg sollte aus [[https:// |
| - | finden wir die Seriennummer der Karte heraus ('' | + | < |
| - | + | mv / | |
| - | Jetzt müssen wir unter /etc/poldi/localdb/users eine Kartei der User anlegen, für die die Authentifizierung mit der jeweiligen Karte eingerichtet werden soll. Z.B. mit: | + | </ |
| - | echo " | + | beim Aufruf von |
| - | Unter /etc/ | + | < |
| + | gpg2 --card-status | ||
| + | </code> | ||
| - | poldi-ctrl -s > serialno.txt | + | gibts ggf. Beschwerden: |
| - | poldi-ctrl -k | tee -a / | + | |
| - | Damit sollte Poldi fertig konfiguriert sein. | + | < |
| + | gpg: selecting openpgp failed: Nicht unterstütztes Zertifikat | ||
| + | gpg: OpenPGP Karte ist nicht vorhanden: Nicht unterstütztes Zertifikat | ||
| + | </ | ||
| - | Nach der grundlegenden Einrichtung der Smartcard, kann das Pam-Poldi-Modul zur / | + | Grund: Die Umgebungsvariable GPG_AGENT_INFO |
| < | < | ||
| - | --- a/ | + | unset GPG_AGENT_INFO |
| - | +++ b/ | + | |
| - | @@ -13,6 +13,8 @@ | + | |
| - | # pam-auth-update to manage selection of other modules. | + | |
| - | # pam-auth-update(8) for details. | + | |
| - | + | ||
| - | +# with smartcard | + | |
| - | +auth sufficient pam_poldi.so | + | |
| - | # here are the per-package modules (the " | + | |
| - | | + | |
| - | # here's the fallback if no module succeeds | + | |
| </ | </ | ||
| + | verschafft Linderung und sollte ggf in den Startscripten untergebracht werden. | ||
| - | === Nutzung | + | <WRAP center round tip 60%> Update |
| - | * http:// | + | Seit Debian Stretch wird der gpg-agent |
| - | * http://www.bootc.net/ | + | |
| - | * https:// | + | |
| - | Wir müssen ssh-Support im gpg-agent konfigurieren: | + | ===== Erfahrungen mit Kartenlesegeräten ===== |
| - | echo " | + | Übersicht über unterstützte Kartenlesegeräte: |
| - | === ssh über mehrere Server (ForwardAgent) === | + | [[http:// |
| - | * http://livecipher.blogspot.co.uk/2013/02/ssh-agent-forwarding.html | + | Bei der Wahl eines Kartenlesegerätes [[http://ludovicrousseau.blogspot.de/2011/05/extended-apdu-status-per-reader.html|sollte eines mit der Unterstützung]] sogenannter [[http:// |
| - | Damit das funktioniert, | + | Ohne "extended APDU" |
| + | ==== Vollständig unterstützte Kartenleser ==== | ||
| - | | + | **[[http://pcsclite.alioth.debian.org/ccid/ |
| - | | + | |
| - | Host * | + | Ein USB-Kartenleser in USB-Stick Format ohne Keypad |
| - | ForwardAgent yes | + | |
| - | Eine ausführliche Beschreibung findet sich hier: | + | * funktioniert out of the box mit dem pcscd |
| - | | + | **[[http://pcsclite.alioth.debian.org/ccid/supported.html# |
| - | === Innerhalb von screen-sessions === | + | Ein USB-Kartenleser mit Pinpad |
| - | Hier steht was dazu: | + | * funktioniert out of the bos mit dem pcscd |
| - | * http:// | + | ==== Nicht oder nicht vollständig unterstützte Kartenleser ==== |
| - | Aber mit debian-wheezy sollte das out of the box funktinieren. | + | **[[https:// |
| - | ===== Nutzung für X2Go ===== | + | Für diesen Kartenleser sind zusätzliche Treiber nötig, die sich in den folgenden Debian-Paketen finden: |
| - | * http:// | + | < |
| + | apt-get install fxcyberjack libifd-cyberjack6 | ||
| + | </ | ||
| - | Auch der x2goclient kann auf die ssh-Authentifizierung über gpg-agent mittels gpg-card zurück greifen. x2goclient muss dazu mit der Option: | + | bzw. für Stretch: |
| - | x2goclient | + | < |
| + | apt-get install libifd-cyberjack6 | ||
| + | </ | ||
| - | gestartet | + | Allerdings scheint trotzdem das Pinpad nicht unterstützt zu werden: [[https:// |
| - | Allerdings beherrscht der x2goclient kein ssh-agent Forwarding. D.h. innerhalb der x2go-Sitzung kann der lokale gpg-agent für die ssh-Authentifizierung nicht genutzt werden. | + | **[[http:// |
| - | Eleganter ist daher die Nutzung des alternativen X2go-Clients: [[http:// | + | Ein USB-Kartenleser in USB-Stick Format ohne Keypad |
| - | apt-get install pyhoca-gui python-cups | + | Lt. [[https:// |
| - | Dieser beherrscht nicht nur die Authentifizierung via smart-card out of the box - sondern auch ssh-forward-agent. | + | < |
| + | gpg: ccid_transceive failed: (0x10002) | ||
| + | gpg: apdu_send_simple(0) failed: invalid value | ||
| + | </ | ||
| - | ===== Nutzung für Luks ===== | + | Laut [[http:// |
| - | Praktisch wäre, die Gnupg-Card auch zum entschlüsseln von Luks-Partitionen beim Booten vollverschlüsselter Systeme nutzen zu können. | + | **[[http:// |
| - | Ein kleines Howto für Debian Wheezy findet sich unter [[..:gnupg: | + | Dieser Kartenleser mit Pinpad funktioniert nur mit dem gnupg internen ccid Treiber. Um diesen zu nutzen, muss der pcscd gestoppt werden. Beim Schreiben auf die Karte kommt es bei Schlüsseln ab 2048 Bit zu folgender Fehlermeldung: |
| - | ===== Nutzung mit Passwortmanagern ===== | + | < |
| - | + | scdaemon[29150]: apdu_send_simple(0) failed: unknown status error | |
| - | ==== keepassX ==== | + | scdaemon[29150]: |
| - | * https:// | + | gpg: Fehler beim Schreiben |
| - | + | </ | |
| - | Die dort beschriebene Lösung funktioniert offensichtlich nicht mehr. Schuld daran scheint zu sein, dass der über socat gebildete Socket keine Informationen über die Kodierung des zur Verfügung gestellten Files ausgibt, keepassx darauf aber zurück greifen will. | + | |
| - | + | ||
| - | Davon abgesehen, ist die Lösung über pipes nicht unbedingt ideal, weil diese auf einem Multi-User-System nicht wirklich sicher sind. | + | |
| - | ==== pass ==== | + | |
| - | + | ||
| - | Ein Kommandozeilen Passwort-Manager, | + | |
| - | + | ||
| - | | + | |
| - | + | ||
| - | Dieses legt für jeden Passwort-Eintrag eine Datei unterhalb von '' | + | |
| - | + | ||
| - | Features (Auswahl): | + | |
| - | + | ||
| - | * git-Integration | + | |
| - | * Mulitline-Passwörter (mit Kommentaren etc.) | + | |
| - | * Baum-Struktur | + | |
| - | * Suchen in Passwörtern und Namen des Eintrags | + | |
| - | * Verschlüsselung der Passwörter für mehrere User-IDs | + | |
| - | Mittels git und der gpg-Encryption für mehrere User-Ids ist der Passwort-Manager Multi-User fähig. Für einzelne Unterordner können | + | Gleiche Ursache: Extended APDU sind nicht unterstützt. Das Pinpad wird wohl auch nicht unterstützt. |
| - | Eine Konvertierung aus einer keepassx xml-Export-Datei gelingt mit folgendem Python-Script: | + | \\ |
| - | * http:// | ||
| - | -> howto zu [[intern: | ||