Best practices per gpg
Mantenere aggiornati i defaults di ~/.gnupg/gpg.conf
- Ad ogni cambio di versione, fare il merge delle modifiche del file di configurazione standard. Per generarlo, è suffciente avviare ed interrompere subito gpg, dopo aver rinominato la directory contenete la configurazione
mv ~/.gnupg/ ~/.gnupg.ori
- Creare il nuovo config file:
gpg --list-keys
gpg: directory `/home/diesis/.gnupg' created gpg: new configuration file `/home/diesis/.gnupg/gpg.conf' created ...
- Spostare il vecchio files personalizzo, spostare il nuovo files coi defaults, rimuovere la nuova directory, e ripristinare la vecchia
mv ~/.gnupg.ori/gpgp.conf /tmp mv ~/.gnupg/gpg.conf ~/.gnupg.ori rm -rf ~/.gnupg mv ~/.gnupg.ori ~/.gnupg/
- Fare il merge delle proprie personalizzazioni nel nuovo files coi defaults
vimdiff /tmp/gpg.cong ~/.gnupg/gpgp.conf
Configurazione keyserver
- Si utilizzeranno i server del pool sks, e per colloquiare in modalità protetta hkps, installare
sudo apt-get install gnupg-curl
- Per poter collegarsi, è necessario utlizzare il certificato CA apposito:
cd ~/.gnupg/ && wget https://sks-keyservers.net/sks-keyservers.netCA.pem
- Impostare il keyserver, ed il percorso del certificato:
vi ~/.gnupg/gpg.conf
keyserver hkps://hkps.pool.sks-keyservers.net keyserver-options ca-cert-file=sks-keyservers.netCA.pem # viene cercato nella diretcory corrente, altrimenti path assoluto
- Testare un refresh delle chiavi pubbliche:
gpg --refresh-keys -v
- Aggiungere l'opzione per forzare il refresh delle key SOLO dal pool sks
keyserver-options no-honor-keyserver-url # oltre alle altre già settate
- 'TODO: Verificare per enigmail [Enigmail Documentation needs Update / Error Message]
- Impostare la visualizzazione degli ID delle key in formato lungo e col fingerprint, per poterle verificare con il propietario, ed evitare possibili collisioni:
vi ~/.gnupg/gpg.conf
keyid-format 0xlong with-fingerprint
- Verificare che vengano mostrati:
gpg --list-secret-keys
...
ssb 2048g/0xE0F60A38E4E9035C 2009-03-02
Key fingerprint = DBA2 29BD 1DA3 8032 DBA4 DBC6 E0F6 0A38 E4E9 035C
...
NON:
ssb 2048g/E4E9035C 2009-03-02