GnuPG Agent, секретные ключи и смарт-карты¶

Система GnuPG разделяет хранение ключей, криптографическую операцию и запрос PIN. Компоненты gpg-agent, pinentry, scdaemon и dirmngr участвуют в работе с ключами, смарт-картами, сертификатами и проверкой доверия.

Проверка компонентов¶

gpgconf --list-components
gpgconf --list-dirs agent-socket
gpg-connect-agent /bye

Для диагностики действий агента используйте штатный журнал, избегая подробного трассирования секретных данных. Не включайте публикацию содержимого ~/.gnupg/private-keys-v1.d/.

Рабочий ключ и ключ на устройстве¶

Ключи OpenPGP и X.509 могут управляться разными компонентами. У аппаратного токена закрытый ключ может быть неэкспортируемым. В этом случае GnuPG выполняет операцию через доступный интерфейс устройства, а не копирует ключ в обычный файл.

Правила эксплуатации¶

Регистрируйте отпечатки открытых ключей и сертификатов по доверенному каналу.
Используйте отдельные ключи и УЦ для тестирования и производства.
Защищайте каталог ~/.gnupg правами пользователя.
Планируйте отзыв сертификата и выпуск новой пары при потере носителя.
Учитывайте, что неправильные PIN-попытки могут заблокировать смарт-карту.

Дополнительные сведения: PKCS#11, управление доверием.