Як генерувати gpg ключ без взаємодії з користувачем?

Я знайшов у https://www.gnupg.org/documentation/manuals/gnupg/Unattended-GPG-key-generation.html#Unattended-GPG-key-generation метод для створення gpg-ключів без взаємодії з користувачем, але це не здається, працює.

Мій сценарій:

#!/usr/bin/env bash
rm -rf .gnupg
mkdir -m 0700 .gnupg
touch .gnupg/gpg.conf
chmod 600 .gnupg/gpg.conf
tail -n +4 /usr/share/gnupg2/gpg-conf.skel > .gnupg/gpg.conf

touch .gnupg/{pub,sec}ring.gpg


cat >.gnupg/foo <<EOF
    %echo Generating a basic OpenPGP key
    Key-Type: RSA
    Key-Length: 2048
    Subkey-Type: RSA
    Subkey-Length: 2048
    Name-Real: User 1
    Name-Comment: User 1
    Name-Email: user@1.com
    Expire-Date: 0
    Passphrase: kljfhslfjkhsaljkhsdflgjkhsd
    %pubring foo.pub
    %secring foo.sec
    # Do a commit here, so that we can later print "done" :-)
    %commit
    %echo done
EOF

gpg2 --verbose --batch --gen-key .gnupg/foo

Коли я запускаю його, він показує:

=$ ./gen.keys.sh 
gpg: Generating a basic OpenPGP key
gpg: no running gpg-agent - starting one
gpg: writing public key to `foo.pub'
gpg: writing secret key to `foo.sec'

Але тоді це просто зависає.

Коли я перевіряю, в середній час, дерево дерева для цього користувача, я бачу:

USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
tstpg    22603  0.0  0.0  24108  5688 pts/9    Ss   14:59   0:00 -bash
tstpg    22624  0.0  0.0  13688  3168 pts/9    S+   14:59   0:00  \_ bash ./gen.keys.sh
tstpg    22632  0.2  0.0  27428  3676 pts/9    SL+  14:59   0:00      \_ gpg2 --verbose --batch --gen-key .gnupg/foo
tstpg    22634  0.3  0.0  18072  2884 pts/9    SL+  14:59   0:00          \_ gpg-agent --server

У ~ / .gnupg / gpg.conf про агента немає згадок, і я не маю уявлення, що він намагається робити.

Файли foo.pub/foo.sec генеруються в домашньому режимі, але порожні.

Що я пропускаю? Як генерувати ключ без будь-якої взаємодії з користувачем?

Версії:

• gpg (GnuPG) 2.0.26
• libgcrypt 1.6.2

Цілком ймовірно, що у вас закінчується ентропія. Для генерації ключів потрібно багато дуже якісних випадкових чисел; без активності користувача, щоб забезпечити якісну випадковість комп'ютеру, пул ентропій вичерпується поколінням, а процес генерації просто зависає, чекаючи, коли пул поповниться.

Ваш вибір, з метою підвищення задовільності, є

1. перенастроювання gpg для використання генератора псевдовипадкових чисел, що не блокує, що було б нерозумно (хоча див. нижче),

2. використання програмного рішення для отримання більшої ентропії з існуючого системного стану (ядро, як відомо, досить консервативне щодо того, наскільки ентропія готова виводитись із стану системи, особливо, коли цей стан не має прямого введення людини, наприклад, терміни процесора чи NIC); як ви вказали, haveged одне таке рішення, або

3. забезпечення комп'ютера іншим фізичним джерелом повноцінної ентропії. Такі пристрої, як ключ Entropy або OneRNG, можуть задовольнити цю вимогу (я не маю зв'язку ні з одним продуктом, крім того, що я маю ключ ентропії, і дуже задоволений ним).

Редагувати : mzhaase звертає мою увагу в коментарі до цієї статті про / dev / urandom vs. / dev / random (за що велике спасибі, це відмінна стаття!) І ставить під сумнів мою неприязнь до використання urandomключів. Насправді стаття не говорить про те, що два джерела рівнозначні, і зазначає це

Linux / dev / urandom з радістю дає вам не настільки випадкові номери, перш ніж ядро ​​навіть отримало можливість зібрати ентропію. Коли це? При запуску системи завантажте комп'ютер.

Тобто, після завантаження, доки urandomPRNG не буде ініціалізований з достатньою ентропією, використовувати його для генерації ключів справді небезпечно. Це може зайняти деякий час, особливо на сервісі без нагляду, без голови, і ми не знаємо, коли буде досягнуто поріг, оскільки система нам прямо не каже.

Тепер, якщо я /dev/randomготовий видати номери, я можу з розумом зробити висновок, що пул ентропії є досить глибоким, що urandomбуде належним чином ініціалізовано. Але якщо мені доведеться перевіряти /dev/randomблокування перед кожним використанням urandom(зважаючи на те, що я генерую ключі рідше, ніж перезавантажую, швидше за все, це буде так), я можу просто використати цифри, /dev/randomщоб створити свої ключі.

Я виявив, що є кілька простих змін, які змушують ваш сценарій працювати. Я також включив кілька тестів, так що після створення ключа він буде автоматично перевірений.

Я також видалив пароль, щоб ключові тести можна було автоматизувати.

#!/usr/bin/env bash
rm -rf .gnupg
mkdir -m 0700 .gnupg
touch .gnupg/gpg.conf
chmod 600 .gnupg/gpg.conf
tail -n +4 /usr/share/gnupg2/gpg-conf.skel > .gnupg/gpg.conf

cd .gnupg
# I removed this line since these are created if a list key is done.
# touch .gnupg/{pub,sec}ring.gpg
gpg2 --list-keys


cat >keydetails <<EOF
    %echo Generating a basic OpenPGP key
    Key-Type: RSA
    Key-Length: 2048
    Subkey-Type: RSA
    Subkey-Length: 2048
    Name-Real: User 1
    Name-Comment: User 1
    Name-Email: user@1.com
    Expire-Date: 0
    %no-ask-passphrase
    %no-protection
    %pubring pubring.kbx
    %secring trustdb.gpg
    # Do a commit here, so that we can later print "done" :-)
    %commit
    %echo done
EOF

gpg2 --verbose --batch --gen-key keydetails

# Set trust to 5 for the key so we can encrypt without prompt.
echo -e "5\ny\n" |  gpg2 --command-fd 0 --expert --edit-key user@1.com trust;

# Test that the key was created and the permission the trust was set.
gpg2 --list-keys

# Test the key can encrypt and decrypt.
gpg2 -e -a -r user@1.com keydetails

# Delete the options and decrypt the original to stdout.
rm keydetails
gpg2 -d keydetails.asc
rm keydetails.asc

Це було розроблено як частина генерування ключів для автоматизованої установки програми. Встановлення та запуск пакета ' rngd ' для створення entroy вирішить вашу проблему. Простий в установці та використанні.

Ось код .

• Запускає rngd ( /dev/hwrandomза замовчуванням, але може змінюватися), щоб забезпечити джерело ентропії
• Скопіює простий шаблон (замініть електронний лист і ім’я шаблону jinja тим, що вам потрібно)
• створює ключ за допомогою gpg
• імпортує його до локальних брелоків

Ось який ви можете використати, але я рекомендую запустити цей скрипт у новому терміналі, щоб не вплинути на поточний. Цей скрипт продовжуватиме генерувати ентропію, зберігаючи машину зайнятою та застряглою у нескінченному циклі, поки користувач не вийде зі сценарію. Не потрібна взаємодія з користувачем до моменту генерації ключа. Все сценарій робить це список файлів назавжди.

Це може зайняти кілька хвилин (іноді 10+), залежно від вашої машини та розміру ключа, але приємно не взаємодіяти з ним.

#!/bin/sh

while true;
do find * / && find * / && find * / && find * / && find * / && find * / && find * / && find * / && find * /;

echo "Press ctrl+c to exit this infinite loop"
sleep 2;
done