Szyfrowanie pliku tylko za pomocą klucza dostępu SSH?

Załóżmy, że chcę zaszyfrować plik, aby tylko ja mógł go odczytać, znając moje hasło klucza prywatnego SSH. Udostępniam repozytorium, w którym chcę zaszyfrować lub zaciemnić poufne informacje. Rozumiem przez to, że repozytorium będzie zawierało informacje, ale otworzę je tylko w szczególnych przypadkach.

1. Załóżmy, że używam agenta SSH, czy istnieje jakiś prosty sposób na zaszyfrowanie pliku, aby tylko ja mógł go otworzyć później?

2. Nie rozumiem, dlaczego mam do tego używać GPG, pytanie tutaj ; w zasadzie znam hasło i chcę odszyfrować plik tylko za pomocą tego samego hasła, co mój klucz SSH. czy to możliwe?

Myślę, że twoje wymagania są prawidłowe, ale z drugiej strony jest to również trudne, ponieważ miksujesz szyfrowanie symetryczne i asymetryczne. Proszę popraw mnie jeżeli się mylę.

Rozumowanie:

1. Hasło do twojego klucza prywatnego służy do ochrony twojego klucza prywatnego i niczego więcej.
2. Prowadzi to do następującej sytuacji: Chcesz użyć swojego klucza prywatnego do zaszyfrowania czegoś, co tylko Ty możesz odszyfrować. Twój klucz prywatny nie jest przeznaczony do tego, twój klucz publiczny jest do tego celu. Cokolwiek szyfrujesz za pomocą klucza prywatnego, może zostać odszyfrowane przez klucz publiczny (podpisywanie), to z pewnością nie to, czego chcesz. (Wszystko, co zostanie zaszyfrowane za pomocą klucza publicznego, można odszyfrować tylko za pomocą klucza prywatnego).
3. Musisz więc użyć klucza publicznego do szyfrowania danych, ale do tego nie potrzebujesz hasła klucza prywatnego. Tylko jeśli chcesz go odszyfrować, potrzebujesz klucza prywatnego i hasła.

Wniosek: Zasadniczo chcesz ponownie użyć hasła do szyfrowania symetrycznego. Jedynym programem, który chciałbyś podać swojemu hasłu, jest ssh-agent i ten program nie wykonuje szyfrowania / deszyfrowania tylko za pomocą hasła. Hasło służy tylko do odblokowania klucza prywatnego, a następnie zostało zapomniane.

Zalecenie: do szyfrowania używaj plików kluczy chronionych hasłem openssl enclub gpg -e --symmetricz nimi. Jeśli potrzebujesz udostępnić informacje, możesz użyć infrastruktury klucza publicznego obu programów, aby utworzyć PKI / Web of Trust.

W openssl coś takiego:

$ openssl enc -aes-256-ctr -in my.pdf -out mydata.enc 

i odszyfrowanie czegoś podobnego

$ openssl enc -aes-256-ctr -d -in mydata.enc -out mydecrypted.pdf

Aktualizacja: Należy zauważyć, że powyższe polecenia openssl NIE zapobiegają manipulowaniu danymi. Proste odwrócenie pliku enc spowoduje również uszkodzenie uszkodzonych odszyfrowanych danych. Powyższe polecenia nie mogą tego wykryć, musisz to sprawdzić na przykład za pomocą dobrej sumy kontrolnej, takiej jak SHA-256. Istnieją kryptograficzne sposoby na zrobienie tego w zintegrowany sposób, nazywa się to HMAC (Hash-based Message Authentication Code).

Wolałbym używać tego opensslnarzędzia, ponieważ wydaje się ono dość wszechobecne.

Konwertuj klucz publiczny i prywatny RSA na format PEM:

$ openssl rsa -in ~/.ssh/id_rsa -outform pem > id_rsa.pem
$ openssl rsa -in ~/.ssh/id_rsa -pubout -outform pem > id_rsa.pub.pem

Szyfrowanie pliku za pomocą klucza publicznego:

$ openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem -in file.txt -out file.enc

Deszyfrowanie pliku za pomocą klucza prywatnego:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc -out file.txt

Ale, jak skomentował powyżej Gilles, jest to odpowiednie tylko do szyfrowania plików mniejszych niż twój klucz publiczny, więc możesz zrobić coś takiego:

Wygeneruj hasło, zaszyfruj je symetrycznie i zaszyfruj hasło publicznie, zapisując je w pliku:

$ openssl rand 64 | 
tee >(openssl enc -aes-256-cbc -pass stdin -in file.txt -out file.enc) |
openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem  -out file.enc.key

Odszyfruj hasło kluczem prywatnym i użyj go do odszyfrowania pliku:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc.key | 
openssl enc -aes-256-cbc -pass stdin -d -in file.enc -out file.txt

Skończysz na dwóch plikach, zaszyfrowanym pliku i zaszyfrowanym haśle, ale wstawienie do skryptu będzie działało dobrze.

Możesz nawet dodać tar cvf file file.enc file.enc.keyporządek.

Optymalnie można zmaksymalizować rozmiar hasła, a także zmienić rand 64rozmiar klucza publicznego.

Spójrz na luks / dm-crypt . Możesz użyć klucza prywatnego ssh jako klucza szyfrowania, korzystając z odpowiedniej opcji.

Aktualizacja: Przykład szyfrowania przy użyciu LUKS z urządzeniem blokowym LV (test LV w systemie VG):

KEY=/home/youraccount/.ssh/id_dsa
DEVICE=/dev/system/test
cryptsetup luksFormat $DEVICE $KEY
cryptsetup luksOpen $DEVICE test_crypt --key-file $KEY

Powinno to udoskonalić blokowe urządzenie / dev / mapper / test_crypt, w którym możesz przechowywać swoje dane (po sformatowaniu ich w wybranym systemie plików).

Aby się go pozbyć, zamontuj go i użyj cryptsetup luksClose test_crypt.