  HOWTO za sreanje z podpisovanjem GPG/PGP kljuev
  Avtor: V. Alex Brennen (vab@cryptnet.net) Prevod:Botjan
  Mller (neonatus@neonatus.net)
  v1.0.4, 21. junij 2001, prevod: 22. december 2001

  Ta dokument opisuje postopek in metode za organizacijo ter udelebo na
  sreanju s podpisovanjem PGP/GPG kljuev z uporabo GPG PGP imple
  mentacije, GnuPG.  Ponudi nam razlago postopka za sreanje s podpiso
  vanjem, odgovore pogosto zastavljenih vpraanj ter razloi kako
  proizvesti svoje in podpisovati kljue drugih ljudi.
  ______________________________________________________________________

  Kazalo


  1. Pregled sreanja

     1.1 Kaj natanko je sreanje s podpisovanjem kljuev?
     1.2 Kaj je podpisovanje kljuev?
     1.3 Kaj je mrea zaupanja (web of trust)?
     1.4 Mi lahko daste primer uporabe podpisa z kljui?
     1.5 Zakaj bi hoteli prirejati lastna sreanja s podpisovanjem kljuev?

  2. Organizacija sreanja

     2.1 Vloga koordinatorja
     2.2 Kako naj bi bilo sreanje strukturirano?
     2.3 Naznanitev sreanja
     2.4 Ustvarjanje spiska kljuev
     2.5 Grafina izrisava mree zaupanja (web of trust)

  3. Udeleba na sreanju

     3.1 Povzetek nalog udeleenca sreanja
     3.2 Kaj naj udeleenci prinesejo na sreanje?
     3.3 esa naj udeleenci Nebi Prinesli na sreanje?
     3.4 Zakaj naj nebi prinesli raunalnika na sreanje?
     3.5 Kreiranje lastnega para kljuev
     3.6 Podpisovanje kljuev ostalih
     3.7 Preklic vaega para kljuev

  4. Pomembni podatki, ter viri za za ve informacij

     4.1 Spisek javnih strenikov s kljui

  5. Povezave na sorodne dokumnte

     5.1 Povezane spletne strani
     5.2 Povezani RFC-ji

  6. O tem dokumentu

     6.1 Verzije
     6.2 Sodelavci


  ______________________________________________________________________

  1.  Pregled sreanja


  1.1.  Kaj natanko je sreanje s podpisovanjem kljuev?


  Sreanje s podpisovanjem GPG/PGP kljuev (GPG/PGP Keysigning Party) je
  shod GPG/PGP uporabnikov z namenom sreanja z drugimi uporabniki
  GPG/PGP-ja ter podpisovanjem kljuev. To v veliki meri pripomore k
  razirjanju mree zaupanja (web of trust), vasih pa slui kot forum
  za diskusijo o moni enkripciji, politinih, ter socialnih spornih
  tokah na temo mone enkripcije, pravicah posameznikov, neodvisnosti
  posameznika ter celo implementaciji enkripcijske tehnologije ali celo
  bodoe delo  na prostem programju za enkripcijo.

  1.2.  Kaj je podpisovanje kljuev?


  Podpisovanje kljuev je digitalni podpis javnega kljua.  Digitalno
  lahko podpiete svoj lastni klju, ali pa javni klju, ki pripada
  nekomu drugemu. Podpisovanje kljuev je potrebno, da se preveri, da
  doloen javni klju res pripada osebi, ki se izdaja kot lastnik
  kljua. Na nek nain podpisi overjajo javne kljue.  Na ta nain
  podpisovanje kljuev iri mreo zaupanja.

  1.3.  Kaj je mrea zaupanja (web of trust)?


  Mrea zaupanja je izraz, ki se uporablja za opis odnosa med skupinami
  kljuev. Podpis kljua je kot povezava ali nit e temu tako reemo v
  mrei zaupanja. Te povezave so imenovane Pot Zaupanja (Trust Path).
  Poti zaupanja so lahko obojstranske ali le enosmerne. Ideana mrea
  zaupanja je takna v kateri je vsak obojestransko povezan z vsemi
  ostalimi. Efektivno vsk zaupa, da vsak klju dejansko pripada
  lastniku. Mreo zaupanja si lahko predstavljate kot vsoto vseh teh
  poti zaupanja, ali povezav med vsemi lastniki kljuev. Kot grafien
  primer si lahko ogledate primer grafa mree zaupanja v katero spada
  avtor tega HOWTO-ja.

  1.4.  Mi lahko daste primer uporabe podpisa z kljui?


  Kot primer, recimo, da Alice in Bob generirata kljue z GPG-jem ter
  priredita PGP sreanje s podpisovanjem kljuev. Na sreanju Alice in
  Bob drug drugemu overita informacije o kljuih in kasneje drug drugemu
  podpieta kljue. GPG e privzeto avtomatsko podpie javni klju
  vsakega generiranega para z pripadajoim privatnim kljuem. Tako imata
  sedaj Alice in Bob vsaj dva veljavna podpisa, ki potrjujeta, da jima
  kljua res pripadata. Klju, ki pripada Alice je podpisan od Alice
  same, ter Bob-a, Bob-ov klju, pa vsebuje njegov lasten podpis ter
  podpis Alice. e v prihodnosti Bob in Alice sreata Cathy. Cathy
  generira par kljuev, ter in pove Alice in Bob-u da jima bo poslala
  svoj klju. Alice Cathy ni ve in noe, da bi Bob komuniciral z njo
  preko enkriptiranih podatkov. Obe Alice in Cathy generirata PGP
  kljue, kateri naj bi oboji pripadali Cathy. Obe poljeta klju Bob-u.
  Oba kljua imata le en podpis, podpis pripadajoega privatnega kljua.
  Bob ne ve kateri klju dejansko pripada Cathy. Cathy izve, da je Bob
  dobil dva kljua in sumi Alice.  Cathy, sedaj jezna, eli pridobiti
  informacije, katere bi lahko uporabila proti Alice. e pa to hoe
  storiti mora komprimirati enkriptirano komunikacijo med Alice in Bob-
  om. Da pa bi to dosegla, se Cathy odloi ponarediti email od Alice
  Bob-u v katerem mu sporoa, da je generirala nov set kljuev.
  Ponarajenem e-mailu Cathly doda "novi" javni klju (ki je v bistvu
  ponarejen klju, katerega je generirala Cathy). Vendar Bob, ki ima
  sedaj dva kljua od Alice, enega od teh je podpisalo ve ljudi (on in
  Alice), kar potrdi, da ta klju pripada Alice, medtem, ko ima drugi
  klju (klju, katerega je ponaredila Cathy samo en podpis - lasten
  podpis).

  Zgornji primer je zelo poenostavljen in stvari so lahko dosti bolj
  zakomplicirane kot to. Za ve informacij in detajlne opise si lahko
  preberete PGP FAQ-a ali dobre knjige o PKI. Zgornji primer jasno
  razloi osnove podpisovanja kljuev in vrednost le-tega. Cathy ni bila
  zmona zamenjati kljua zaradi povezav mree zaupanja med Bob-om in
  Alice.

  Kakorkoli, podpisi in mree zaupanja ne jamijo za verodostojne
  kljue. Na primer, ko sta Bob in Alice prvi sreala Cathy, recimo, da
  je Cathy-in prijatelj Donald bil z Cathy. Donald bi lahko generiral
  ponarejene pare kljuev za Alice in Bob-a, ju podpisal z svojim
  kljuem ter nato e vsakega z vsakim, kar bi imelo za posledico kljue
  z tremi podpisi na vsakem kljuu, katere bi nato poslal Cathy Cathy bi
  tako imela serije ponarejenih kljuev in podpisov. Kako bi njej
  pomagalo podpisovanje kljuev, da bi se lahko obranila taknega
  napada? Recimo, da so vsi ljudje vpleteni kljue izmenjevali preko
  strenikov s kljui (keyservers). e bi Cathy iskala Bob-ov in Alice-
  in klju preko strenika s kljui bi nala dva primera kljuev tako za
  Alice kot za Bob-a. e pa bi Alice in Bob dobila dvajset podpisov na
  sreanju z podpisovanjem kljuev, je oitno, da Cathy lahko bolje
  zaupa kljuu, podpisanemo dvajsetkrat kot kljuu podpisanemu trikrat.
  Cathy bi lahko dobila nekaj informacij o kljuih tudi iz obstoja
  dodatnih javnih kljuev - poblije si lahko ogleda as generiranja in
  datume ter mreo zaupanja teh kljuev. Dvajset kljuev, z podpisov z
  sreanja z podpisovanjem bi morali biti podpisani dvajset ali vekrat,
  ter bi morali imeti razline ase generiranja, najverjetneje bi bili
  vsi kljui, ki so podpisali Alice-in in Bob-ov klju podpisani tudi z
  drugimi kljui.  To pa se nebi zgodilo, e bi Donald heneriral dvajset
  ponarejenih parov kljuev, ter sam ustvaril ponarejeno mreo zaupanja.


  1.5.  Zakaj bi hoteli prirejati lastna sreanja s podpisovanjem
  kljuev?



  Obstajajo trije osnovni razlogi, zakaj bi priredili im ve sreanj s
  podpisovanjem kljuev.


  Prvi ter morda najpomembneje, priredite im ve srean s
  podpisovanjem kljuev, da razirite mreo zaupanja. Globje in bolj
  povezana kot bo, teje jo je prevarati.


  Drugi, sreanja s podpisovanjem kljuev omogoajo vkljuitev drugih v
  "varnostno kulturo" in jih spodbujajo k razumevanju PGP-ja in povezane
  tehnologije za mono enkripcijo. Da bi pridobili prednosti mone
  enkripcije jo morajo ljudje uporabljati in to pravilno.


  Konno, sreanja s podpisovanjem kljuev pripomorejo k izgradnji
  skupnosti. Pripomorejo "tekijem" (techies) da se druijo, spoznajo en
  drugega, mreo, ter diskutirajo o pomembnih temah kot so pravice
  posameznikov, pravice enkripcije, pravila interneta.  Diskusija je
  pomembna, ker je ne le prvi korak, temve korak pred akcijo. V asu
  avtorjevega pisanja tega dokumenta na svetu ni ravno mnogo mre
  zaupanja. e delate na tem, da bi zgradili mreo zaupanja v vaem
  okoliu, je zelo verjetno, da bodo prvi udeleenci v tej mrei
  voditelji ter tisti, ki bodo ustvarjali pravila internetne skupnosti v
  vaem okoliu. To so posamezniki, ki lahko izberejo da zgradijo mono
  varno kriptografijo in protokole v lokalno infrastrukturo, e si tega
  elijo. Integracija takne tehnologije in protokolov bi povzroile, da
  bi problemi, kot je FBI-jev carnivore sistem neizvedljiv in zatorej
  dvomljiv.

  2.  Organizacija sreanja




  2.1.  Vloga koordinatorja


  Sreanja s podpisovanjem ni zelo teko organizirati ali koordinirati.
  Kakorkoli, poleg rednih nalog povabljanja ljudi, izbire lokacije ter
  doloitve asa, ima koordinator e naloge specifine za sreanje s
  podpisovanjem. Te navadno vkljuujejo pripravljanje spiska kljuev za
  vsakega udeleenca, ter doloitev zgradbe sreanja.

  2.2.  Kako naj bi bilo sreanje strukturirano?


  Obstajata dva osnovna naina, na katera lahko izgradimo sreanje s
  podpisovanjem kljuev -- centraliziran nain ali decentraliziran
  nain.  Najbolji pristop k sreanja se doloi glede na koliino
  ljudi, ki bodo na sreanju prisostvovali, ter ozraja lokacije, kjer
  se bo sreanje odvijalo. Osnovne zahteve sreanja so da so udeleenci
  zmoni overiti kljue drug drugemu ter identitete drug drugemu. e so
  te osnovne zahteve izvrene lahko koordinator uporabi variacije teh
  dveh tipov.


  Centralizirano sreanje bi bilo bolj organizirane oblike, kar bi bolje
  delovalo z manjimi tevili ljudi. Udeleenci poljejo podatke o
  svojih kljuih koordinatorju, ki te podatke shrani v spisek. Vsak
  udeleenec, potem ko prispe na sreanje dobi en izvod tega spiska.
  Vsakega udeleenca bi potem poklical koordinator. Udeleenec bi takrat
  preveril, e se njegov fingerprint ujema z fingerprintom kljua na
  spisku, katerega jim je dal koordinator. e je udeleenec preprian,
  da je fingerprint pravilen, bi na glas prebral svoj fingerprint, tako,
  da bi e ostali udeleenci videli, da imajo na listu pravi
  fingerprint.  e se fingerprint ujema, ga odkljukajo na svojem listu.
  To je nujno, da se preveri, da koordinator ni naredil napake pri
  pripravljanju spiska ali da jim ni podtaknil spisk z ponarejenimi
  podatki. Po tem, ko so vsi odkljukali klju, koordinator poklie
  naslednjega udeleenca, ter tako dalje. Po tem, ko so vsi kljui
  obkljukani, se udeleenci ter koordinator postavijo v vrsto, pred
  seboj pa drijo list z svojim ID-jem. Oseba na zaetku vrste se
  sprehodi do konca vrste in preveri ID vseh oseb v vrsti.  e je ID
  pravilen in se ujema s tem na listu, ter e ima prvo kljukico si
  odkljuka poleg kljua e drugo kljukico. Ko ima klju enkrat dve
  kljukici se ga lahko podpie.


  Decentralizirano sreanje bi temeljilo na principu da vsak dela zase.
  Udeleenci naj bi se pomeali neformalno, ter poiskali ostale
  udeleence katerih kljuev e niso podpisali. Po sreanju preverijo
  kljue na svojih spiskih ter eden-drugemu overijo ID-je.
  Decentralizirana sreanja omogoajo vkljuitev dosti vejega tevila
  ljudi, vendar imajo tudi slabo lastnost, da udeleenci lahko
  spregledajo koga in mu ne podpiejo kljua. Na taknem sreanju je
  pomembno, da koordinator vzpodbuja vse, da se prepriajo, da so
  overili ID-je ostalih. Spisek kljuev ter fingerprintov ni nujen za
  takno sreanje, je pa priporoljiv.


  Centralizirana sreanja so odlina za podpisovanja na konferencah med
  kosilom, neformalnih tihih sreanjih pri nekom doma ali vrestavraciji,
  itd.  Decentralizirana sreanja so dosti bolj praktina za sreanja,
  katerih se bo udeleilo veje tevilo ljudi, in se odvijajo v baru ali
  kakem drugem hrupnem okolju, ali zabavah katerih se udeleujejo
  neotesani ter teko kontrolirajoi geek-i.




  2.3.  Naznanitev sreanja


  Veje kot je sreanje tem bolje. Sreanje lahko naznanite na lokalnem
  LUG potnem spisku, ostalih spiskih povezanih z raunalnitvom v vai
  okolici, lahko celo daste oglas v asopis ali izdate bilten za tisk.


  e ravno zaenjate graditi mreo zaupanja v vaem okoliu, je navadno
  pametno zdruiti im ve aktivnih PGP uporabnikov, da vam pri tem
  pomagajo, ker so oni navadno tisti, ki bodo v prihodnosti organizirali
  takna sreanja. Dobri naini iskanja taknih ljudi so pogovori z
  ostalimi, ki poiljajo PGP podpisana sporoila na potne spiske, ali z
  iskanjem kljuev z e-mail naslovi specifinimi za va okoli na
  strenikih s kljui. Naprimer e-mail naslovi, ki se konajo z domenami
  univerz ali vejih podjetih lociranih v vaem okoliu pogosto
  privedejo do velikega tevila zainteresiranih oseb.


  Tu je nekaj primerov naznanil:


    Spletna stran naznanitve sreanja s podpisovanjem PGP kljuev

    E-mail naznanitve sreanja s podpisovanjem PGP kljuev

    Bilten za tisk naznanitve sreanja s podpisovanjem PGP kljuev.

  2.4.  Ustvarjanje spiska kljuev


  e boste uporabili strukturo za sreanje, pri kateri udeleenci
  potrebujejo spisek kljuev vseh prisostujoih, mora koordinator taken
  spisek tudi ustvariti. Spisek naj bi bil sestavljen na nain podoben
  temu:



                                 Key ID
                                 992A4B3F


  Avtor je napisal perl skripto, ki generira HTML dokument v zgornjem
  stilu iz gpg keyring-a, jaz sem jo malce spremenil, tako, da deluje
  tudi z novejimi verzijami gpg-ja. Perl skripta ki generira spisek
  kljuev je dosegljiva pod pogoji GNU General Public License (GPL).


  Kopije spiska bi se nato natisnilo za vse udeleence sreanja s
  podpisovanjem. Koordinator lahko natisne spisek sam, ali pa ga
  razpolje udeleencem preko e-mail-a ali pa ga objavi na spletni
  strani, ter ga nato udeleenci natisnejo sami.

  2.5.  Grafina izrisava mree zaupanja (web of trust)


  Ni ne vzpodbudi zanimanja ljudi kot pisane slike.  Zatorej,
  izrisovanje mree zaupanja kot ste jo izgradili v vaem okoliu lahko
  pripomore k motivaciji ljudi, da sodelujejo, kot tudi to, da vsem
  jasno prikae kaj ste dosegli v procesu.


  Enostavno lahko izdelate graf vseh kljuev in podpisov vae mree
  zaupanja z pretvorbo teh informacij v dot datoteko, katero lahko
  podate programu za izrisovanje grafov kot sta dot ali neato. Perl
  skript, ki pretvori keyring v datoteko dot formata je napisal Darxus
  in je ravno tako dosegljiva pod pogoji GPL. Da lahko nariete graf
  mree zaupanja boste morali na svoj disk shraniti Darxus-ov sig2dot.pl
  skript ter AT&T Researchh-ov graphviz paket. Morda ne boste mogli
  generirati grafa mree zaupanja za ve kot nekaj sto vozli ker je za
  takno operacijo potrebno kar nekaj spomina.


  Navodila za risanje grafa mree zaupanja v gpg keyring-u so vkljuena
  v sig2dot.pl skriptu, ali pa jih lahko najdete na Debian-ovi strani o
  risanju grafof keyringov. Zopet tule je povezava na graf mree
  zaupanja ki je bil narejen z sig2dot.pl skriptom ter neato programom
  za grafe. Ve informacij je dosegljivih preko Debian keyring graphing
  page (en).

  3.  Udeleba na sreanju




  3.1.  Povzetek nalog udeleenca sreanja


  1. Generati par kljuev

  2. Poljite javni klju na doloen strenik s kljui (ali
     koordinatorju)

  3. Poljite podatke o javnem kljuu koordinatorju

  4. Prikaite se na sreanju

  5. Preverite podatke o vaih kljuih na sreanju

  6. Preverite podatke o kljuih vseh ostalih na sreanju

  7. Podpiite vse preverjene kljue

  8. Poljite vse podpisane kljue nazaj na strenik s kljui (ali
     lastniku kljua)

  3.2.  Kaj naj udeleenci prinesejo na sreanje?


  1. Njih same - virtualno ne morete prisostvovati

  2. Dve vrsti dokumenta s sliko - vozniko dovoljenje in osebna
     izkaznica sta dovolj

  3. Key ID, Key Type, Hex Fingerprint and Key Size informacije o svojem
     kljuu na listu

  4. Pisalo

  3.3.  esa naj udeleenci Nebi Prinesli na sreanje?


  1. Raunalnika

  3.4.  Zakaj naj nebi prinesli raunalnika na sreanje?


  Raunalnika naj nebi prinesli na sreanje ker lahko binarne zamenjave
  ali modifilacije sistema enostavno komprimirajo PGP sisteme.



  e naj bi nekdo prinesel prenosnik katerega naj bi vsi uporabljali za
  podpisovanje kljuev na sreanju, nebi nihe dejansko vedel, ali je na
  raunalniku tekel program, ki lovi vtipkane znake, modificirano
  verzijo GPG-ja, modificirano verzijo Linux jedra ali posebno
  oblikovano tipkovnico, katerikoli od teh nainov bi se lahko uporabil,
  da bi pridobili privatne kljue tistih, ki so uporabljali raunalnik.


  Uporaba raunalnika na sreanu bi vas ravno tako naredila ranljive za
  branje preko ramena, ali bolj kompleksne napade kot je injekcija
  virusov, ki modificirajo gpg program, da bi izdajali podatke o
  privatnih kljuih.

  3.5.  Kreiranje lastnega para kljuev


  Postopek generiranja lastnega para kljuev je precej preprost. V
  osnovi morate le zagnati gpg --gen-key . Kakorkoli, priporoam vam, da
  ustvarite tudi preklicni certifikat (revocation certificate) za vae
  kljue v primeru, da kdaj izgubite dostop do vaega skrivnega kljua
  (npr. izgubite geslo zanj ali izgubite sam skrivni klju). Navodila za
  kreiranje preklicnega certifikata najdete v poglavju 3.7 tega
  dokumenta.


  Navodila spodaj so napisana korak za korakom, z varnostjo v mislih.
  Naprimer:


    kljue se generira z najvejo mono velikostjo kljuev, da se jih
     naredi bolj odporne na "brute force" napad

    kljui se generirajo z omejeno ivljenjsko dobo, da se preprei
     njihova dolgorono ogroanje z vedno napredujoo raunalniko
     tehnologijo

    kljue se shrani na disketnik, da se preprei kraja kljuev v
     primeru, da si nekdo pridobi dostop do vaega raunalnika (z
     oddaljenega ralunalnika ali fizino)

    preklicni certifikat se generira, da se lahko javni klju v primeru
     kompromiranja ali izgube kljua lahko preklie

     Nekateri ljudje, se bodo poutili varne tudi brez vseh teh
     varnostnih ukrepov. Naprimer, da posedujete prenosnik ali doma
     raunalnik na katerem berete vso elektronsko poto, se lahko
     poutite dovolj varno, da na disku tega raunalnika shranite va
     par kljuev. Lahko tudi varno generirate par kljuev katerega
     veljavnost nikdar ne potee in katerega lahko uporabljate za
     identifilacijo in veino komunikacij - ter kreirate e par kljuev,
     ki ga uporabljate za izjemno obutljive komunikacije (e imate
     kake). Ponovno navodila, ki si sledijo korak za korakom spodaj so
     napisana z mislijo na im boljp varnost. Ni vam jih nujno potrebno
     slediti, da generirate par kljuev.  Po drugi strani, le ste
     izjemno paranoini varnostni "freak" kot sem jaz potem vam bo
     sledenje spodnjim navodilom prineslo obutek pomirjenosti, ki ga
     trenutno tako potrebujete.



  1)  Pojdite na www.gnupg.org, ter k sebi na disk shranite zadnjo
  verzijo gnupg-ja: gnupg-x.x.x.tar.gz

  Opozorilo:  Prepriajte se, da imate dejansk vsaj verzijo GnuPG-ja
  1.0.6, ker verzije pred to imajo pomembne varnostne luknje v njih.

  2)  Preverite PGP podpis ter MD5 vsoto GnuPG arhiva:



  [vab@firster vab]$ gpg --verify gnupg-x.x.x.tar.gz.sig gnupg-x.x.x.tar.gz
  [vab@firster vab]$ md5sum gnupg-x.x.x.tar.gz




  3)  Razpakirajte arhiv, ga skonfigurirajte, prevedite ter
  intalirajte:



  [vab@firster vab]$ tar xvzf gnupg-x.x.x.tar.gz
  [vab@firster vab]$ cd gnupg-x.x.x
  [vab@firster gnupg-x.x.x]$ ./configure
  [vab@firster gnupg-x.x.x]$ make
  [vab@firster gnupg-x.x.x]$ su
  [vab@firster gnupg-x.x.x]# make install
  [vab@firster gnupg-x.x.x]# exit
  [vab@firster gnupg-x.x.x]$ cd




  e delite sistem na katerega intalirate GnuPG e z kom, bi morda
  eleli GnuPG narediti setuid root, tako, da lahko uporablja zaiten
  spomin. e to elite storiti, priporoamo previdnost da preverite va
  arhiv z md5 podpisom, ter pgp podpisom, da si zagotovite da ni
  trojanski konj.


  4)  Najdite disketo, na katero boste shranili kljue, ter jo
  sformatirajte.



  [vab@firster vab]$ /sbin/mkfs.ext2 /dev/fd0





  4a) "Mount-ajte" disketno enoto ter naredite direktorij, ki pripada
  vam na njej za vae kljue:



  [vab@firster vab]$ mount /mnt/floppy
  [vab@firster vab]$ mkdir /mnt/floppy/.gnupg





  ter e je potrebno (odvisno od dostopa do fd0 na vaem sistemu):



  [vab@firster vab]$ chown <va_uid>:<va_gid> /mnt/floppy/.gnupg




  4b) Naredite symlink z vaega domaega direktorija na disketo



  [vab@firster vab]$ ln -s /mnt/floppy/.gnupg .gnupg





  5)  Generirajte svoje gnupg kljue



  [vab@firster vab]$ gpg --gen-key





  5a) Izberite tip kljua, ki ga elite - Privzeto je v redu.



  Please select what kind of key you want:
  (1) DSA and ElGamal (default)
  (2) DSA (sign only)
  (4) ElGamal (sign and encrypt)
  Your selection? <return>





  5b) Izberite velikost svojega kljua:  2048



  DSA keypair will have 1024 bits.
  About to generate a new ELG-E keypair.
  minimum keysize is  768 bits
  default keysize is 1024 bits
  highest suggested keysize is 2048 bits
  What keysize do you want? (1024) 2048<return>
  Do you really need such a large keysize? yes<return>





  5c) Nastavite ivljenjsko dobo tega kljua: 5 let je v redu



  Requested keysize is 2048 bits
  Please specify how long the key should be valid.
  0 = key does not expire
  <n>  = key expires in n days
  <n>w = key expires in n weeks
  <n>m = key expires in n months
  <n>y = key expires in n years
  Key is valid for? (0) 5y<return>
  Key expires at Sun Sep 21 16:17:15 2005 EDT
  Is this correct (y/n)? y<return>


  5d) Vnesite svoje ime/priimek ter elektronsk(i/e) naslov(e)...



  Real name: Demo User<return>
  Email address: demo@nonexistent.nowhere<return>
  Comment:
  You selected this USER-ID:
  "Demo User <demo@nonexistent.nowhere>"

  Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit?  O<return>





  5e) Izberite si geslo. Izbrati morate dobro geslo. Bilo naj bi dolgo,
  ter teko za uganiti. Mora biti nekaj, esar ne boste pozabili. e
  pozabite svoje geslo ne morete ve uporabljati kljua.


  5f)  Premikajte miko, ter pritisnite nekaj tipk, morda posodobite
  locate ali naredite veje iskanje z find ukazom. GPG bere iz
  /dev/random, da dobi ve nakljunosti za generacijo vaih kljuev.
  /dev/random v glavnem naseljujejo prekinitve.


  6)  Spremenite svoj klju, e to elite. Na primer, e imate ve
  elektronskih naslovov in jih elite vse kot veljavne na vaih kljuih:


  [vab@firster vab]$ gpg --list-secret-keys

  /home/vab/.gnupg/secring.gpg
  ----------------------------
  sec  1024D/C01BAFC3 2000-09-21 Demo User <demo@nonexistent.nowhere>
  ssb  2048g/7A4087F3 2000-09-21
  [vab@firster vab]$ gpg --edit-key C01BAFC3
  Command> help
  Command> adduid
  [...]
  Command> save





  7) Poljite va klju na strenik s kljui


  [vab@firster vab]$ gpg --keyserver <strenik_s_kljui> --send-key
  <Va_Key_ID>



  Videti bi morali sporoilo o uspehu kot je tole:


  gpg: success sending to `<strenik_s_kljui>' (status=200)



  Tu je pomembno omeniti, da nekateri ljudje verjamejo, da skrivanje
  kljuev (shranjevanje le teh brez objave) pripomore k dodatni varnosti
  za njihove enkriptirane komunikacije. To je res, ker na streniku s
  kljui bi lahko prilo do vdora ali kompromizacije in vrnili napaen
  javni klju, ko bi bil le-ta zahtevan. Nadalje, klju ma doloenem
  javnem streniku s kljui morda ni najnoveja verzija kljua. Naprimer
  dodatni podpisi so morda bili dodani kljuu, ki ni bil poslan na
  strenik s kljui. To je tudi res ker je za doloene tipe napadov na
  javni enkripcijski sistem, ki ga uporablja PGP potreben javni klju.
  Medtem, ko mnogo ljudi priakuje, da z razumno velikimi kljui ti
  napadi nebi mogli biti uspeni, tako da je vseeno, ali je javni klju
  objavljen, ohranjanje javnega  kljua v tajnosti dejansko ojaa par
  kljuev.


  Jaz ne priporoam da ohranite svoj javni klju v tajnosti, ker bo to
  druge odvrnilo od uporabe PGP-ja v njihovih komunikacijah z vami. e
  se znova dotaknemo teme o monosti pokvarjenega ali kompromiranega
  strenika s kljui, ki bi vraal napane kljue, se lahko zaitite
  pred tem, da bi vam poiljali sporoila z pokvarjenimi kljui, tako,
  da objavite fingerprint svojega kljua v svoji .signature datoteki ali
  na spletu. Da se posvetimo temi napada vaega para kljuev preko
  dosegljivosti vaega javnega kljua bi rekel, e ste resnino
  zaskrbljeni glede vrstosti vaega para kljuev ali resnino
  paranoini glede varnosti vaih komunikacij, lahko generirate dodatne
  pare kljuev (ki poteejo v roku ur ali dni) za vsako komunikacijo ter
  izmenjate javne kljue teh parov skozi kodirane komunikacije z
  posamezniki s katerimi elite komunicirati.


  e ne elite imeti svojega kljua na javnem streniku s kljui lahko
  preskoite ta korak ter namesto tega poljete svoj javvni klju
  koordinatorju sreanja z sporoilom v katerem napiete, da svojega
  javnega kljua ne elite imeti na javnem streniku s kljui.
  Koordinator lahko prebere informacije o vaem kljui ter posreduje va
  klju ostalim udeleencem sreanja preko kodirane elektronske pote,
  ali kake druge metode, poleg tega pa e sporoilo, da naj se klju po
  podpisu vrne lastniku, in se ne polje na strenik s kljui.


  8)  Generirajte preklicni certifikat. To je neobvezen korak.


  Generiranje in shramba preklicnega certifikata vam bo omogoila
  preklic vaega javnega kljua tudi v primeru da to le tega izgubite
  dostop zaradi kompromizacije, zaplembe, pozabljenega gesla, ali okvare
  medija na katerem je bil shranjen. e elite imeti monost, da
  prekliete va javni klju kadar nimate dostopa do vaega skrivnega
  kljua, generirajte preklicni certifikat ter ga shranite na varnem
  mestu. Kopijo preklicnega certifikata je pametno natisniti, da ga
  lahko vseeno vnesete v primeru, da se vam okvari medij na katerem je
  bil shranjen.


  e pride do kompromizacije vaega preklicnega certifikata, bi dobil
  posameznik, ki je kompromiziral va certifikat monost uporabe
  certifikata in potemtakem onemogoiti va klju. Vendar, posameznik ne
  bo mogel kompromirati vaega skrivnega kljua preko preklicnega
  certifikata. Torej ne bo zmoen ustvariti ponarejenih podpisov,
  odkodirati sporoil zakodiranih z vaim parom kljuev ali se
  predstavljati z njim za vas, kot lastnik vaih kljuev. Ker je edini
  moni izid kompromizacije preklicnega certifilata onemogoenje vaega
  para kljuev je v glavnem varna in pametna odlolitev.


  Zopet oddelek 3.7 vsebuje ve informacij o preklicu kljuev.


  GnuPG ukaz, ki generira preklicni certifikat je:

  [vab@firster vab]$ gpg --output revcert.asc --gen-revoke <key_id>



  9)  Preko elektronske pote poljite podatke o vaih kljuih
  koordinatorju sreanja, ter mu povejte, da pridete na sreanje. Ukaz
  napisan spodaj bo izpisal podatke, ki jih morate poslati
  koordinatorju, e uporabljate strenik s kljui. Te podatke nato lahko
  poljete v enkriptiranem sporoilu preko elektronske pote
  koordinatorju.


  [vab@firster vab]$ gpg --fingerprint  <Your_Key_ID>



  10)  Od-"mountajte" disketo ter jo izvrzite:


  [vab@firster vab]$ umount /mnt/floppy



  Opomba: Disketo lahko nsoite s seboj za dodatno varnost, ali pa jo
  lahko pustite v varnem zaklenjenem predalu mize, itd. Svojih kljuev
  NOETE imeti v .gnupg direktoriju, ki je dosegljiv preko spleta.


  11) Prikaite se na sreanju.

  3.6.  Podpisovanje kljuev ostalih


  1. korak:   Dobite kopijo kljua


  Navadno boste delali z strenika s kljui. Toda e klju, ki ga
  podpisujete ni disegljiv na streniku s kljui ga lahko enostavno
  uvozite z ukazom

  gpg --import datoteka_z_javnim__kljuem .

  e pa delate z strenikom s kljui, pa bo naslednji ukaz shranil klju
  s strenika v va javni keyring

  [vab@firster vab]$ gpg --keyserver <strenik_s_kljui> --recv-keys
  <Key_ID>



  e dobite napako za branje, to pomeni da so streniki s kljui
  preobremenjeni. Prosim poskusite znova ez nekaj sekund.


  2. korak:  Poglejte fingerprint kljua in ga overite


  [vab@firster vab]$ gpg --fingerprint <Key_ID>



  GPG bo izpisal podatke o kljuu (katerega ste ravnokar shranili s
  strenika s kljui): fingerprint in <Key_ID >. Preverite, e se
  fingerprint shranjenega kljua ujema z fingerprintom kljua na vaem
  spisku, ki ste ga dobili na sreanju. Opozorilo: ne preverjajte
  fingerprinta na spletni strani strenika s kljui, ker ni nujno da bam
  bo poslal isti klju, kot je prikazan na spletni strani.


  3. korak:  Podpiite klju


  [vab@firster vab]$ gpg --sign-key <Key_ID>



  e imate ve privatnih kljuev doloite s katerim kljuem elite
  podpisati z ukazom podobmin temule:


  [vab@firster vab]$ gpg --default-key <Klju_ki_ga_boste_uporabili>
  --sign-key <Key_ID>



  e imate probleme z delom z RSA kljui po vsej verjetnosti uporabljate
  staro verzijo gnupgja. Verzije GnuPG-ja stareje od 1.0.3 ne
  vsebujejo podpore za RSA algoritem. Opozorilo: morda morate odstraniti
  starejo verzijo, ki jo je vao distribucijo namestila z orodjem za
  delo s paketi. Verzijo programa, ki ga kliete lahko preverite z
  sledeim ukazom:


  [vab@firster vab]$ gpg --version



  4. korak:  Vrnite ali poljite na strenik s kljui podpisan klju


  e delate z osebo, ki noe imeti svojih kljuev na javnem ku s kljui,
  bi jim morali pri tem koraku vrniti njihov javni klju preko metode po
  njihovi izbiri - navadno preko enkriptirane elektronske pote. Javnega
  kljua ne smete poslati na javni strenik s kljui brez dovoljenja
  njegovega lastnika. Objava javnega kljua malce zmanja varnost para
  kljuev, zatorej bi se razumelo kot nevljudno, e bi klju naredili
  bolj javen, kot eli njegov lastnik.


  Najverjetneje boste delali preko strenika s kljui. V tem primeru
  lahko poljete klju na strenik s kljui na slede nain:


  [vab@firster vab]$ gpg --keyserver <strenik s kljuli> --send-key
  <Key_ID>



  Videti bi morali sporoilo podobno temu:


  gpg: success sending to `<strenik_s_kljui>' (status=200)



  estitke, podpis kljua druge osebe je sedaj konan in va podpis je
  bil dodan v njihov javni klju. Pot zaupanja je bila vzpostavljena.

  3.7.  Preklic vaega para kljuev



  V primeru, da sumite, da je bil va skrivni klju kompromiran, bi
  morali takoj preklicati va javni klju. Preklic kljua poteka z
  dodatkom preklicnega certifikata javnega kljua. Preklic kljua da
  vedeti, da klju ni ve veljaven (varen) in da se ga naj ne uporablja.
  Enkrat, ko je preklicni certifikat izdan, se ga ne da ve preklicati.


  Ker je va PGP klju distribuiran (brei kroi) med ljudmi in se ne
  ureja z centralne toke morate distribuirati preklicni certifikat na
  isti nain kot razirjate va javni klju. Kroenje preklicnega
  certifikata na isti nain kot va javni klju bi navadno pomenilo, da
  preklicni certifikat poljete na strenike s kljui. e kljua niste
  poslali na strenik s kljui lahko kljub temu poljete preklicni
  certifikat nanj (v tem primeru bi se poznala razlika med prosto
  dostopnostjo javnega kljua in nezmonostjo opozorila oseb da je bil
  va klju preklican).


  Ponovno, ukaz za kreiranje preklicnega certifikata je slede:


  [vab@firster vab]$ gpg --output revcert.asc --gen-revoke <key_id>



  e se vam dozdeva kdaj in kako je plilo do komprimizacije vaega
  kljua in ste generirali preklicni certifilat med generacijo kljua,
  boste lahko e vedno generirali nov preklicni certifikat, za preklic
  vaega para kljuev, to pa zato, ker vam openPGP omogoa, da opiete
  razlog preklica, ter napiete e nekaj teksta o tem zakaj klju
  preklicujete. Kroenje taknega preklicnega certifikata ima svoje
  prednosti in je bolj zaeljeno kot kroenje splonega preklicnega
  certifikata generiranega med kreiranjem kljuev.

  4.  Pomembni podatki, ter viri za za ve informacij



  4.1.  Spisek javnih strenikov s kljui



  1. CryptNET Omreje strenikov s kljui

     a. gnv.keyserver.cryptnet.net


  2. www.keyserver.net Omreje

     a. search.keyserver.net

     b. seattle.keyserver.net

     c. germany.keyserver.net

     d. belgium.keyserver.net

     e. finland.keyserver.net

     f. thailand.keyserver.net

  3. pgp.ai.mit.edu

  4. pgp.uni-mainz.de


  5.  Povezave na sorodne dokumnte


  GnuPG FAQ (en)

  GnuPG Prironik (en)

  GnuPG Mini Howto (English)

  comp.security.pgp FAW


  5.1.  Povezane spletne strani


  GnuPG Domaa Stran (en)

  Domaa stran zdruenja OpenPGP (en)

  Mednarodna domaa stran PGP (en)

  Stran izrisovanja   grafov Debian (en)

  Programski paket AT&T Labs-Research Graphviz (en)

  Stran o sledenju podpisov (en)


  5.2.  Povezani RFC-ji



  rfc2440

  6.  O tem dokumentu


  Copyright (c) 2000, 2001  V. Alex Brennen.

  Dovoljenja za kopiranje, distribucijo in/ter spreminjanje tega
  dokumenta so dovoljena pod pogoji GNU Free Documentation License,
  Verzije 1.1 ali noveje, ki jo objavi Free Software Foundation.


  Ta dokument ivi na naslovu http://www.cryptnet.net/fdp/crypto/gpg-
  party.html


  Prevedel 23.12.2001 Botjan Mller



  6.1.  Verzije


  Version 1.0.0, 2000.10.01 Zaetna izdaja

  Version 1.0.1, 2000.10.03 Spremembe v nainu pisanja, informacije o
  javnih kljuih

  Version 1.0.2, 2000.12.07 Popravljena napaka v povezavi

  Version 1.0.3, 2001.01.14 Poenostavitve, Risanje grafov, Obnaanje in
  varnost na strenikih s kljui, Perl koda, Primeri objav, Dodatni
  podatki, sploni popravki

  Version 1.0.4, 2001.06.21 Podatki o preklicnih certifikatih dodani:
  3.5, 3.7.  RFC informacije dodane: 4.4.  Spisek strenikov s kljui
  ter povezave na spletne strani posodobljene.



  6.2.  Sodelavci

  V. Alex Brennen (Glavni avtor)

  John Sheehy (Tehnini predlogi, primeri objav)

  Darxus (Popravki HTML-ka, primeri poenostavitev, Koda za delanje
  grafov (sig2dot.pl & sigtrace.pl))

  Peter Palfrader (Tehnini predlogi, Obnaanje na strenikih kljuev,
  dodatni predlogi)

  Ryan Brouillard (Primer broure za tisk)

  Jeremy Scofield (Predlogi za nain pisanja/format)
