gpg 密钥生成、导入、导出、自动输入密码
目录
这里总结一下 gpg 密钥的使用，在最新的版本 2.2.x （CentOS 8）相较于之前的 2.0.x （CentOS 7）版本还是有较大的变化的，还有记录一下自动输入密钥密码的方式，虽然这种方式不提倡（不安全），但是在一些特殊情况下，比如：写脚本执行 gpg 操作的时候，总不能每次弹框手动输入命令吧，下面就来总结下。
一、系统环境
CentOS Linux release 8.0.1905 (Core)
注意：CentOS 7 中 gpg 的版本为 2.0.x，CentOS 8 中 gpg 为 2.2.x，还是有很大变化的，比如：签名密钥的导入和导出都需要输入密码。
二、常用命令（以签名密钥为例）
（1）生成密钥
简单方式：gpg --generate-key 或 --gen-key : 生成 gpg 密钥，这种方式有一些参数是默认的；
-
[root@192 ~]# gpg --gen-key
-
gpg (GnuPG) 2.2.9; Copyright (C) 2018 Free Software Foundation, Inc.
-
This is free software: you are free to change and redistribute it.
-
There is NO WARRANTY, to the extent permitted by law.
-
-
Note: Use "gpg --full-generate-key" for a full featured key generation dialog.
-
-
You need a user ID to identify your key; the software constructs the user ID
-
from the Real Name, Comment and Email Address in this form:
-
"Heinrich Heine (Der Dichter) <heinrichh@duesseldorf.de>"
-
-
真实姓名：temp-key
-
电子邮件地址：temp-key@163.com
-
您选定了这个用户标识：
-
“temp-key <temp-key@163.com>”
-
-
Change (N)ame, (E)mail, or (O)kay/(Q)uit? O
-
我们需要生成大量的随机字节。这个时候您可以多做些琐事(像是敲打键盘、移动
-
鼠标、读写硬盘之类的)，这会让随机数字发生器有更好的机会获得足够的熵数。
-
我们需要生成大量的随机字节。这个时候您可以多做些琐事(像是敲打键盘、移动
-
鼠标、读写硬盘之类的)，这会让随机数字发生器有更好的机会获得足够的熵数。
-
gpg: 密钥 AB38BACE635A064C 被标记为绝对信任
-
gpg: revocation certificate stored as '/root/.gnupg/openpgp-revocs.d/6C8A15CECD3DCC2741A7C590AB38BACE635A064C.rev'
-
公钥和私钥已经生成并经签名。
-
-
pub rsa2048 2020-07-27 [SC] [有效至：2022-07-27]
-
6C8A15CECD3DCC2741A7C590AB38BACE635A064C
-
uid temp-key <temp-key@163.com>
-
sub rsa2048 2020-07-27 [E] [有效至：2022-07-27]
-
-
[root@192 ~]#
详细的方式：gpg --full-gen-key 或 --full-generate-key ： 生成gpg密钥，有详细的配置参数；
-
[root@localhost ~]# gpg --full-generate-key
-
gpg (GnuPG) 2.2.9; Copyright (C) 2018 Free Software Foundation, Inc.
-
This is free software: you are free to change and redistribute it.
-
There is NO WARRANTY, to the extent permitted by law.
-
-
请选择您要使用的密钥种类：
-
(1) RSA and RSA (default)
-
(2) DSA and Elgamal
-
(3) DSA (仅用于签名)
-
(4) RSA (仅用于签名)
-
您的选择？ 4
-
RSA 密钥长度应在 1024 位与 4096 位之间。
-
您想要用多大的密钥尺寸？(2048)
-
您所要求的密钥尺寸是 2048 位
-
请设定这把密钥的有效期限。
-
0 = 密钥永不过期
-
<n> = 密钥在 n 天后过期
-
<n>w = 密钥在 n 周后过期
-
<n>m = 密钥在 n 月后过期
-
<n>y = 密钥在 n 年后过期
-
密钥的有效期限是？(0) 0
-
密钥永远不会过期
-
以上正确吗？(y/n)y
-
-
You need a user ID to identify your key; the software constructs the user ID
-
from the Real Name, Comment and Email Address in this form:
-
"Heinrich Heine (Der Dichter) <heinrichh@duesseldorf.de>"
-
-
真实姓名：Search2016
-
电子邮件地址：Search2016@163.com
-
注释：Search2016
-
您选定了这个用户标识：
-
“Search2016 (Search2016) <Search2016@163.com>”
-
-
更改姓名(N)、注释(C)、电子邮件地址(E)或确定(O)/退出(Q)？O
-
我们需要生成大量的随机字节。这个时候您可以多做些琐事(像是敲打键盘、移动
-
鼠标、读写硬盘之类的)，这会让随机数字发生器有更好的机会获得足够的熵数。
-
gpg: 密钥 894EC1384177F643 被标记为绝对信任
-
gpg: directory '/root/.gnupg/openpgp-revocs.d' created
-
gpg: revocation certificate stored as '/root/.gnupg/openpgp-revocs.d/00BF891AC03B546DE9FCEDDC894EC1384177F643.rev'
-
公钥和私钥已经生成并经签名。
-
-
请注意这把密钥还不能用来加密，您必须先用“--edit-key”指令
-
生成用于加密的子钥。
-
pub rsa2048 2020-07-26 [SC]
-
00BF891AC03B546DE9FCEDDC894EC1384177F643
-
uid Search2016 (Search2016) <Search2016@163.com>
-
-
[root@localhost ~]#
-
（2）列出私钥
gpg -K 或 --list-secret-keys : 查看私钥，参数后面没有指定私钥，则输出所有私钥；
-
[root@192 ~]# gpg -K
-
/root/.gnupg/pubring.kbx
-
------------------------
-
sec rsa2048 2020-07-27 [SC]
-
8AC0AB86C34ADC6ED110A5A9E6730F4374866065
-
uid [ 绝对 ] Search2016 (Search2016) <Search2016@163.com>
（3）列出公钥
gpg -k 或 --list-public-keys : 查看公钥，参数后面没有指定公钥，则输出所有公钥;
-
[root@192 ~]# gpg -k
-
/root/.gnupg/pubring.kbx
-
------------------------
-
pub rsa2048 2020-07-27 [SC]
-
8AC0AB86C34ADC6ED110A5A9E6730F4374866065
-
uid [ 绝对 ] Search2016 (Search2016) <Search2016@163.com>
（4）导出公钥
gpg -a -o public-file.key --export keyId : 导出公钥keyId 到 文件 public-file.key中；
其中：
-a 为 --armor 的简写，表示密钥以ASCII的形式输出，默认以二进制的形式输出；
-o 为 --output 的简写，指定写入的文件；
[root@192 ~]# gpg -a -o public-file.key --export 8AC0AB86C34ADC6ED110A5A9E6730F4374866065
（5）导出私钥
gpg -a -o private-file.key --export-secret-keys keyId : 导出私钥 keyId 到文件 private-file.key中，导出的时候需要输入密钥密码；
其中，导出私钥需要输入保护私钥的密码；
[root@192 ~]# gpg -a -o private-file.key --export-secret-keys 8AC0AB86C34ADC6ED110A5A9E6730F4374866065
（6）导入公钥/私钥
gpg --import public-file.key / private-file.key : 导入公钥或私钥，其中，导入私钥需要输入保护私钥的密码；
-
[root@192 ~]# gpg --import public-file.key
-
gpg: 密钥 E6730F4374866065：公钥“Search2016 (Search2016) <Search2016@163.com>”已导入
-
gpg: 合计被处理的数量：1
-
gpg: 已导入：1
-
[root@192 ~]# gpg -k
-
/root/.gnupg/pubring.kbx
-
------------------------
-
pub rsa2048 2020-07-27 [SC]
-
8AC0AB86C34ADC6ED110A5A9E6730F4374866065
-
uid [ 未知 ] Search2016 (Search2016) <Search2016@163.com>
-
[root@192 ~]# gpg --import private-file.key
-
gpg: 密钥 E6730F4374866065：“Search2016 (Search2016) <Search2016@163.com>”未改变
-
gpg: 密钥 E6730F4374866065：私钥已导入
-
gpg: 合计被处理的数量：1
-
gpg: 未改变：1
-
gpg: 读取的私钥：1
-
gpg: 导入的私钥：1
-
[root@192 ~]#
（7）删除公钥
gpg --delete-keys keyId : 删除公钥；
[root@192 ~]# gpg --delete-keys 6C8A15CECD3DCC2741A7C590AB38BACE635A064C
（8）删除私钥
gpg --delete-secret-keys : 删除私钥；
[root@192 ~]# gpg --delete-secret-keys 6C8A15CECD3DCC2741A7C590AB38BACE635A064C
三、在对私钥进行操作时，避免弹窗输入密码
gpg 在新的版本中，在对私钥进行操作的时候（签名、导入等）需要输入密钥的密码，但是有时候我们并不希望弹框输入密码，更希望是通过脚本等方式执行 gpg 的一些操作，方法如下：
（1）直接输入密码
gpg --import --pinentry-mode loopback --batch --passphrase password private-file.key
-
[root@localhost ~]# gpg --import --pinentry-mode loopback --batch --passphrase 123456 private-file.key
-
gpg: 密钥 E6730F4374866065：“Search2016 (Search2016) <Search2016@163.com>”未改变
-
gpg: 密钥 E6730F4374866065：私钥已导入
-
gpg: 合计被处理的数量：1
-
gpg: 未改变：1
-
gpg: 读取的私钥：1
-
gpg: 导入的私钥：1
-
[root@localhost ~]#
（2）将密码输入到文件里
gpg --import --pinentry-mode loopback --batch --passphrase-file password-file private-file.key
-
[root@localhost ~]# gpg --import --pinentry-mode loopback --batch --passphrase-file password-file private-file.key
-
gpg: 密钥 E6730F4374866065：“Search2016 (Search2016) <Search2016@163.com>”未改变
-
gpg: 密钥 E6730F4374866065：私钥已导入
-
gpg: 合计被处理的数量：1
-
gpg: 未改变：1
-
gpg: 读取的私钥：1
-
gpg: 导入的私钥：1
-
[root@localhost ~]#
文件 password-file 第一行为设置的密码，这两种方式都不提倡使用，如果真要使用建议使用第二中。
文章来源: blog.csdn.net，作者：Linux猿，版权归原作者所有，如需转载，请联系作者。
原文链接：blog.csdn.net/nyist_zxp/article/details/107597626
- 点赞
- 收藏
- 关注作者
评论（0）