Add GnuPG keys export to Nitrokey
This commit is contained in:
parent
8e625fff00
commit
d055d1ee97
1 changed files with 413 additions and 0 deletions
|
|
@ -0,0 +1,413 @@
|
|||
Title: Importer des clefs GnuPG dans sa Nitrockey Pro
|
||||
Category: sécurité
|
||||
Tags: GPG, open source, open hardware, Nitrokey, pl-fr
|
||||
Date: 2019-07-28 23:10
|
||||
|
||||
Dans un [précédent article]({filename}../decouverte-de-la-nitrokey/index.md)
|
||||
j'ai présenté la *Nitrockey Pro* et fait un bref tour du propriétaire. Cette
|
||||
fois si je vais expliquer comment y importer des clefs PGP déjà existante.
|
||||
|
||||
Bien entendu je part sur un système déjà installée et configurée et part du
|
||||
principe que la Nitrokey est paramétrée (PIN utilisateur et administrateur, nom
|
||||
du propriétaire etc.)
|
||||
|
||||
## Avant de commencer
|
||||
|
||||
Mes clefs sont un peu particulières J'ai :
|
||||
|
||||
- une *clé principale servant* a **créer des sous clefs, de les révoquer et
|
||||
de signer celles des copains**.
|
||||
- une *sous clé* **permettant de chiffrer**
|
||||
- enfin une *sous clé* **permettant de signer**
|
||||
|
||||
A partir de là nous allons **mettre mes deux sous clefs sur la Nitrokey** et
|
||||
garder la clé principale dans un endroit sûr.
|
||||
|
||||
L'importation n'est pas très difficile et prendra qu'une minute. Par contre il
|
||||
est important de réaliser quelques opérations en plus :
|
||||
|
||||
- créer un certificat de révocations.
|
||||
- Sauvegarder comme il se doit la clé maître et ses sous clefs, le certificat
|
||||
de révocation. En effet l'opération d'importation de vous sous clefs
|
||||
supprimera celles-ci du dossier `~/.GnuPG/`
|
||||
- Mettre à l'abri la *Master Key* et la sortir du trousseau *GnuPG* pour la
|
||||
mettre en sécurité. Elle sera utile pour révoquer des sous clefs, en
|
||||
générer d'autres et certifier.
|
||||
|
||||
## Réaliser une sauvegarde
|
||||
|
||||
Avant tout, il est important de garder une copie de sauvegarde de sa clé maître
|
||||
et de ses sous clefs au cas ou une manipulations ne se passe pas comme prévue.
|
||||
Pour bien faire les choses, exportons les clefs privées, publiques et le
|
||||
certificat de révocation dans un fichier compressé et chiffré.
|
||||
|
||||
Commençons par créer un dossier dans le répertoire `/tmp` afin de recevoir le
|
||||
certificat de révocation et les sauvegardes de clefs :
|
||||
|
||||
```shell
|
||||
mkdir /tmp/gpg_backup
|
||||
chmod 700 /tmp/gpg_backup
|
||||
```
|
||||
|
||||
### Certificat de révocation
|
||||
|
||||
Voici la commande utile pour créer un certificat de révocation pour notre clé
|
||||
maître :
|
||||
|
||||
```shell
|
||||
gpg --gen-revoke --output /tmp/gpg_backup/revoke.asc <id>
|
||||
```
|
||||
|
||||
Où `<id>` représente l'identifiant de la clé. Une boite de dialogue apparaît
|
||||
ensuite demandant la phrase de passe permettant de débloquer la clé privée.
|
||||
|
||||
### Exporter les clefs
|
||||
|
||||
Commençons par la clé privée :
|
||||
|
||||
```shell
|
||||
gpg --export-secret-keys --armor --output /tmp/gpg_backup/ephase_private.asc <id>
|
||||
```
|
||||
|
||||
Bien entendu la phrase de passe de la clé sera demandée
|
||||
|
||||
Puis la clé publique, qui ne nécessite pas de phrase de passe pour être
|
||||
débloquée :
|
||||
|
||||
```shell
|
||||
gpg --export --armor --output /tmp/gpg_backup/ephase_public.asc <id>
|
||||
```
|
||||
|
||||
### Créer une archive sécurisée
|
||||
|
||||
Bien entendu il ne faut pas que ces données (du moins le certificat de
|
||||
révocation et la clé privée) tombent entre de mauvaise main, il suffit
|
||||
simplement de créer une archive chiffrée du dossier `/tmp/gpg_backup` :
|
||||
|
||||
```shell
|
||||
tar cz -C '/tmp/' gpg_backup | gpg --symmetric --output ephase_key.gpg && rm -rf /tmp/gpg_backup
|
||||
```
|
||||
|
||||
Après avoir rentré un mot de passe de chiffrement fort pour protéger notre
|
||||
sauvegarde, nous sommes fin prêt pour la suite des opérations. Pour restaurer le
|
||||
dossier il suffira d'utiliser la commande suivante :
|
||||
|
||||
```shell
|
||||
gpg --decrypt ephase_key.gpg | tar xz
|
||||
```
|
||||
|
||||
### Mettre ce fichier à l'abri
|
||||
|
||||
Le fichier `ephase_key.gpg` sera mis à l'abri sur un espace de stockage hors
|
||||
ligne (voire même plusieurs).
|
||||
|
||||
## Importer la paire de clefs
|
||||
|
||||
La manipulation se fait depuis la gestion de clefs `gpg`, nous y accédons avec
|
||||
la commande :
|
||||
|
||||
```shell
|
||||
gpg --expert --edit-key <id>
|
||||
|
||||
gpg (GnuPG) 2.2.17; Copyright (C) 2019 Free Software Foundation, Inc.
|
||||
This is free software: you are free to change and redistribute it.
|
||||
There is NO WARRANTY, to the extent permitted by law.
|
||||
|
||||
La clef secrète est disponible.
|
||||
|
||||
sec rsa4096/XXXXXXXXXXXXXXXX
|
||||
créé : 2016-07-07 expire : 2020-07-12 utilisation : SC
|
||||
confiance : ultime validité : ultime
|
||||
ssb rsa4096/YYYYYYYYYYYYYYYY
|
||||
créé : 2016-07-07 expire : 2020-07-12 utilisation : E
|
||||
ssb rsa4096/ZZZZZZZZZZZZZZZZ
|
||||
créé : 2016-07-07 expire : 2020-07-12 utilisation : S
|
||||
[ ultime ] (1). Yorick Barbanneau <ephase@example.com>
|
||||
|
||||
gpg>
|
||||
```
|
||||
|
||||
À partir de là nous allons procéder par étape :
|
||||
|
||||
1. choisir la sous clé pour 1 (le chiffrement) et l'exporter dans le slot
|
||||
*chiffrement* sur la Nitrokey
|
||||
2. choisir la sous clé 2 (signature) et l'exporter dans le slot *signature*
|
||||
|
||||
La clé maitre sera sortie du trousseau et mise à l'abri.
|
||||
|
||||
### Exporter la clé ¨Chiffrement¨
|
||||
|
||||
Voici les commandes à entrer pour exporter la première clé sur la Nitrokey :
|
||||
|
||||
```shell
|
||||
gpg> key 1
|
||||
|
||||
[...]
|
||||
|
||||
gpg> keytocard
|
||||
```
|
||||
|
||||
`key 1` permet de dire à `gpg` que l'on travaille sur la première sous clé, et
|
||||
`keytocard` envoi celle-ci sur notre *smartcard*
|
||||
|
||||
`gpg` nous demande de déverrouiller par en entrant la phrase
|
||||
de passe et le code *PIN* administrateur de la Nitrokey.
|
||||
|
||||
|
||||
### Exporter la clé ¨Signature¨
|
||||
|
||||
Il faut maintenant dé-sélectionner la sous clé 1 :
|
||||
|
||||
```shell
|
||||
gpg> key 1
|
||||
```
|
||||
|
||||
Pour copier la clé 2:
|
||||
|
||||
```shell
|
||||
gpg> key 2
|
||||
|
||||
[...]
|
||||
|
||||
gpg> keytocard
|
||||
```
|
||||
|
||||
Comme précédemment, `gpg` nous demande de déverrouiller par en entrant la phrase
|
||||
de passe et le code *PIN* administrateur de la Nitrokey.
|
||||
|
||||
### Sauvegarder les changements.
|
||||
|
||||
Il ne reste plus qu'à sauvegarder nos changement sur les clefs et quitter `gpg`
|
||||
|
||||
```shell
|
||||
gpg> save
|
||||
```
|
||||
|
||||
Les deux sous clefs seront alors supprimées de notre trousseau et disponible
|
||||
uniquement via la *smartcard*., d'ailleurs
|
||||
|
||||
## Mettre sa clé maître à l'abri
|
||||
|
||||
La clé maître est la plus importante des clefs, elle permet de créer d'autre
|
||||
sous clefs, d'émettre des certificats de révocation pour celles-ci ou encore de
|
||||
signer les clefs publique des amis.
|
||||
|
||||
Il est tout à fait possible de la sortir du trousseau pour la mettre à l'abri
|
||||
et de la remettre lorsque l'on en a besoin.
|
||||
|
||||
Pour ma part j'ai choisi de mettre la clé sur un support externe chiffré, et
|
||||
avec l'aide d'un script de monter le support lorsque j'en ai besoin et de créer
|
||||
un lien symbolique de la clé depuis le répertoire de `GnuPG`.
|
||||
|
||||
Les outils utilisés sont en général installés de base : `LUKS` et `udisk`
|
||||
|
||||
### Créer le conteneur chiffré
|
||||
|
||||
Toutes les opérations suivantes se font en **super utilisateur** ou avec `sudo`.
|
||||
|
||||
Dans un premier temps partitionnons la clé USB (ici `sdb`):
|
||||
|
||||
```shell
|
||||
parted -s /dev/sdb mklabel msdos mkpart primary ext4 1MiB 100%
|
||||
```
|
||||
|
||||
Il nous faut ensuite créer le conteneur chiffré :
|
||||
|
||||
```shell
|
||||
cryptsetup luksFormat /dev/sdb1
|
||||
WARNING!
|
||||
========
|
||||
Cette action écrasera définitivement les données sur /dev/sdb1.
|
||||
|
||||
Are you sure? (Type uppercase yes): YES
|
||||
Saisissez la phrase secrète pour /dev/sdb1 :
|
||||
Vérifiez la phrase secrète :
|
||||
```
|
||||
|
||||
Le déverrouiller :
|
||||
|
||||
```shell
|
||||
cryptsetup luksOpen /dev/sdb1 gpg_master
|
||||
Saisissez la phrase secrète pour /dev/sdb1 :
|
||||
```
|
||||
|
||||
Pour le formater :
|
||||
|
||||
```shell
|
||||
mkfs.ext4 -E root_owner=1000:1000 -m 0 /dev/mapper/gpg_master
|
||||
```
|
||||
Il faut bien entendu adapter le paramètre `root_owner` en fonction de votre
|
||||
`UID` et de votre `GID`.
|
||||
|
||||
Et enfin monter la partition avec :
|
||||
|
||||
```shell
|
||||
mkdir -p /mnt/usb
|
||||
mount /dev/mapper/gpg_master /mnt/usb
|
||||
```
|
||||
|
||||
Puis s'assurer que la clé USB ne peut être lue seulement par notre utilisateur :
|
||||
|
||||
```shell
|
||||
chmod 700 /mnt/usb
|
||||
```
|
||||
|
||||
### Déplacer la clé maitre GnuPG sur votre clé USB
|
||||
|
||||
Les commandes suivante sont à faire dans la foulée mais en tant utilisateur
|
||||
courant.
|
||||
|
||||
Nous allons utilisé une fonctionnalité de `GnuPG 2` : les clefs privées sont
|
||||
stockée dans le répertoire `~/.gnupg/private-keys-v1.d/` ou chaque fichier
|
||||
correspond à une clé et le nom est repris dans le champs `keygrip` :
|
||||
|
||||
```shell
|
||||
gpg -K --with-keygrip
|
||||
/home/ephase/.gnupg/pubring.kbx
|
||||
-------------------------------
|
||||
sec rsa4096 2016-07-07 [SC] [expire : 2020-07-12]
|
||||
3526F4565D76C5674AA56690936CDF3783293949
|
||||
Keygrip = ABCDEF1234567890ABCDEF1234567890ABCDEF12
|
||||
uid [ ultime ] Yorick Barbanneau <ephase@example.com>
|
||||
ssb> rsa4096 2016-07-07 [E] [expire : 2020-07-12]
|
||||
Keygrip = FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF
|
||||
ssb> rsa4096 2016-07-07 [S] [expire : 2020-07-12]
|
||||
Keygrip = BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB
|
||||
```
|
||||
|
||||
Je doit donc chercher la clé `3526F4565D76C5674AA56690936CDF3783293949.key` et
|
||||
la copier sur notre clé :
|
||||
|
||||
```shell
|
||||
mkdir -p /mnt/usb/.gpg_master
|
||||
chown 700 /mnt/usb/.gpg_master
|
||||
mv ~/.gnupg/private-keys-v1.d/3526F4565D76C5674AA56690936CDF3783293949.key /mnt/usb/.usbmaster
|
||||
```
|
||||
|
||||
Afin de bien vérifier que la clé n'est plus disponible, il suffit de faire :
|
||||
|
||||
```shell
|
||||
gpg -K
|
||||
/home/ephase/.gnupg/pubring.kbx
|
||||
-------------------------------
|
||||
sec# rsa4096 2016-07-07 [SC] [expire : 2020-07-12]
|
||||
3526F4565D76C5674AA56690936CDF3783293949
|
||||
uid [ ultime ] Yorick Barbanneau <ephase@example.com>
|
||||
ssb> rsa4096 2016-07-07 [E] [expire : 2020-07-12]
|
||||
ssb> rsa4096 2016-07-07 [S] [expire : 2020-07-12]
|
||||
```
|
||||
|
||||
Le `#` à côté de `sec` indique que la clé maître n'est plus disponible dans le
|
||||
trousseau `GnuPG`.
|
||||
|
||||
### Automatiser le montage de la clé
|
||||
|
||||
Afin de faciliter les opération de montage et démontage de la clé USB
|
||||
contenant notre clé maître, on va s'aider d'un script.
|
||||
|
||||
L'utilisation est simple, une fois mis dans un endroit accessible via le `$PATH`
|
||||
il suffit de faire `gpgmount.sh m` pour monter la clé USB ou `gpgmount.sh u`
|
||||
pour la démonter.
|
||||
|
||||
```bash
|
||||
#!/bin/bash
|
||||
|
||||
UUID=""
|
||||
mountpoint=""
|
||||
|
||||
usage () {
|
||||
cat <<EOF
|
||||
$0 m | u
|
||||
$0 mount | unmount
|
||||
|
||||
mount or unmount encrypted device based on UUID and attach private keys
|
||||
EOF
|
||||
}
|
||||
|
||||
if [ -L "/dev/disk/by-uuid/${UUID}" ]
|
||||
then
|
||||
case "$@" in
|
||||
"m"|"mount")
|
||||
|
||||
echo "Mount encryted key"
|
||||
action=$(udisksctl unlock -b /dev/disk/by-uuid/${UUID})
|
||||
|
||||
if [ ! $? -eq 0 ]
|
||||
then
|
||||
echo $action
|
||||
exit 10
|
||||
fi
|
||||
mountpoint=$(udisksctl mount -b /dev/mapper/luks-${UUID} | \
|
||||
awk '{print $4}')
|
||||
|
||||
while read -r f
|
||||
do
|
||||
base=$(basename $f)
|
||||
|
||||
#create symlink to key file if not exist
|
||||
if [ ! -e "~/.gnupg/private-keys-v1.d/$base" ]
|
||||
then
|
||||
ln -s $f ~/.gnupg/private-keys-v1.d/$base
|
||||
fi
|
||||
done < <(find ${mountpoint%.}/.gpg_master/ -type f -name "*.key")
|
||||
;;
|
||||
"u"|"unmount")
|
||||
echo "unmount encrypted key"
|
||||
while read -r f
|
||||
do
|
||||
rm $f
|
||||
done < <(find ~/.gnupg/private-keys-v1.d -type l -name "*.key")
|
||||
|
||||
udisksctl unmount -b /dev/mapper/luks-${UUID} 2&> /dev/null || \
|
||||
echo "Volume is already unmounted"
|
||||
udisksctl lock -b /dev/disk/by-uuid/${UUID} 2&> /dev/null || \
|
||||
echo "Encrypted container is not unlocked"
|
||||
;;
|
||||
*)
|
||||
echo "parameter not understood, what do you want :"
|
||||
usage
|
||||
exit 1
|
||||
;;
|
||||
esac
|
||||
else
|
||||
echo "USB device $UUID is not connected"
|
||||
exit 5
|
||||
fi
|
||||
|
||||
exit 0
|
||||
```
|
||||
|
||||
Il faut bien entendu mettre l'uuid de la partition contenant notre clé maître
|
||||
dans la variable `UUID`.
|
||||
|
||||
Pour le récupérer il suffit de lancer la commande `blkid` en tant que `root`
|
||||
avec en paramètre la partition en question:
|
||||
|
||||
```shell
|
||||
blkid /dev/sdb1
|
||||
/dev/sdb1: UUID="<uuid>" TYPE="crypto_LUKS" PARTUUID="<partuuid>"
|
||||
```
|
||||
|
||||
## En conlusion
|
||||
|
||||
J'ai essayé ici de créer un environnement équilibré entre sécurité et facilité.
|
||||
La Mitrokey permet donc de sécuriser mes sous clefs utilisées tous les jours
|
||||
tout en les rendant disponibles sur mes deux machines principales.
|
||||
|
||||
Bien sûr il serait plus sécurisé de n'utiliser la clé maître sur une machine
|
||||
totalement hors ligne démarrée par une distribution live. Mais avouez que pour
|
||||
signer les clé des amis (lors de [chiffro-fête][l_w_cparty] par exemple), ce
|
||||
n'est pas l'idéal.
|
||||
|
||||
[l_w_cparty]:https://fr.wikipedia.org/wiki/CryptoParty
|
||||
|
||||
## Bibliographie
|
||||
|
||||
*Kernel Maintainer PGP guide — The Linux Kernel documentation* par Konstantin
|
||||
Ryabitsev - [lien][b_pgpkernmaint]
|
||||
|
||||
*Using an offline GnuPG master key* (2015) par Damien Goutte-Gattat
|
||||
- [lien][b_offlinegpgk]
|
||||
|
||||
[b_pgpkernmaint]:https://www.kernel.org/doc/html/v5.1/process/maintainer-pgp-guide.html
|
||||
[b_offlinegpgk]:https://incenp.org/notes/2015/using-an-offline-gnupg-master-key.html
|
||||
Loading…
Add table
Add a link
Reference in a new issue