Informazioni

Per ulteriori informazioni visitare il sito web ufficiale
http://www.gnupg.org

E' possibile scaricare la versione per Windows anche dalla pagina dei Downloads.

Top

Introduzione

GnuPG (GNU Privacy Guard) e' la versione Open del software di cifratura/decifratura PGP (Pretty Good Privacy).
GnuPG e' un Free Software basato sulle specifiche della RFC2440 (OpenPGP) e che usa quindi algoritmi di cifratura/decifratura di pubblico dominio, realizzato per garantire la segretezza e l'autenticita' delle informazioni.
Supporta algoritmi di cifratura quali ElGamal (firma e cifratura), DSA, RSA, AES, 3DES, Blowfish, Twofish, CAST5, MD5, SHA-1, RIPE-MD-160 e TIGER.

Segue un breve tutorial sui comandi principali di GnuPG, basato unicamente sul capitolo primo della guida ufficiale considerando anche i paragrafi dedicati all'utilizzo delle firme digitali nei propri documenti.

NB:
Per chi volesse approfondire la documentazione relativa agli altri capitoli, non menzionati in questo modesto tutorial, puo' sempre fare riferimento a quanto segue:

• La guida ufficiale completa e' consultabile on-line in formato HTML e scaricabile in formato PDF.
• E' inoltre presente (in inglese) la Man Page di GnuPG.

Top

Funzionalita' Principali

Sommario funzionalita' per:

• Generare le chiavi
• Generare un certificato di revoca
• Esportare ed importare le chiavi
• Cifrare e Decifrare
• Fare e verificare firme

Top

Generare le chiavi

Per poter utilizzare GnuPG, si deve innanzi tutto generare la coppia di chiavi (chiave pubblica e chiave privata) necessarie per cifrare/decifrare o apporre firme digitali che possano attestare l'autenticita' e l'integrita' di un documento.
Per generare la coppia, o le coppie, di chiavi, digitare quanto segue:

gpg --gen-key

A questo punto basta seguire le istruzioni a video per scegliere il tipo di chiave desiderata tra:

• DSA e ElGamal (voce di default che crea due coppie di chiavi, una per cifrare/decifrare ed una per firmare)
• DSA (una coppia di chiavi solo per firmare)
• ElGamal (una sola coppia di chiavi per cifrare/decifrare e firmare)

Scegliere la dimensione della chiave da 768 a 2048 bit, con valore di default 1024 (se si sceglie un valore superiore a 1024 bit, l'eventuale chiave DSA avra' dimensione 1024 bit).

Scegliere la durata di validita' della chiave, specificando il numero di giorni, settimane, mesi, anni, oppure scegliendo nessuna scadenza per la chiave.

Scegliere adesso le informazioni personali che la chiave dovra' contenere, come nome, cognome, e-mail ed un eventuale commento, al fine di poter associare la chiave ad una persona fisica.

Adesso, fase piu' importante nella generazione di una coppia di chiavi, e' la scelta di una passphrase segreta che servira' per decifrare i documenti cifrati con propria chiave pubblica o per effettuare qualsiasi altra azione che impieghi la propria chiave privata.

Sommario Comandi | Top

Generare un certificato di revoca

Dopo aver generato le chiavi, e' opportuno generare anche un certificato di revoca che possa invalidare la propria chiave in caso essa venga corrotta da terzi, si dimentichi la passphrase oppure semplicemente non la si vuole piu' usare.
Questo e' possibile con il comando:

gpg --output revoca.txt --gen-revoke KEY-ID

dove con KEY-ID si intende un identificativo univoco della chiave specificato durante la sua generazione (quale nome, cognome, e-mail o commento).
Viene cosi' creato il file revoca.txt che contiene di fatto la revoca alla propria chiave.
Durante la generazione della revoca, viene richiesta all'utente la motivazione per cui si intende revocare la chiave, tra cui compromissione, sostituzione, non piu' in uso o non specificato.
Una volta deciso di revocare la chiave, basta pubblicare il file di revoca che, appena importato, renda la chiave non piu' utilizzabile.

Sommario Comandi | Top

Esportare ed importare le chiavi

Nasce quindi il bisogno di poter scambiare la propria chiave pubblica con gli altri al fine di poter usufruire dei servizi offerti da questo standard di cifratura/decifratura.
Cio' e' possibile con il comando:

gpg --output chiavepub.txt --armor --export KEY-ID

che crea il file chiavepub.txt contenente appunto la chiave pubblica dell'utente KEY-ID.
Dualmente, il comando per importare le chiavi pubbliche altrui e' il seguente:

gpg --import altrachiavepub

Per verificare quali chiavi sono state importare, e' possibile eseguire il comando:

gpg --list-keys

che mostra l'elenco di tutte le chiavi pubbliche disponibili.

Si rende necessario adesso, verificare che le chiavi importate corrispondano alle effettive chiavi dei rispettivi possessori.
Questo si puo' fare confrontando il fingerprint della chiave gia' importata con quello della chiave pubblica generata dall'originario possessore che, per buona norma, dovrebbe essere pubblicato assieme alla chiave o addirittura comunicato personalmente, cosi' da avere un riscontro relativamente sicuro che la chiave importata sia proprio quella esatta.
Per visualizzare i fingerprint delle chiavi importate, procedere come segue:

gpg --fingerprint

Verificato il fingerprint, si puo' procedere alla validazione della chiave in questione con l'apposizione della propria firma. Per far questo bisogna entrare in un sotto-menu relativo alla chiave col comando:

gpg --edit-key KEY-ID

in questo ambiente e' possibile verificare le varie firma con il comando:

check

Si puo' firmare la chiave con la propria firma tramite il comando:

sign

e' inoltre possibile visualizzare l'elenco di tutti i comandi disponibili digitando:

help

Per uscire dal sotto-menu digitare semplicemente:

q

Sommario Comandi | Top

Cifrare e Decifrare

Dopo aver eseguito le operazioni precedenti, si puo' adesso iniziare a cifrare/decifrare i propri documenti.

Per cifrare un documento:

gpg --output filecifrato --armor --encrypt --recipient KEY-ID fileoriginale

dove KEY-ID e' la chiave del destinatario.

Mentre per decifrare:

gpg --output filedecifrato -d filecifrato

verra' chiesta adesso la passphrase impostata per la propria chiave privata, al fine di poter decifrare il documento.

E' anche possibile cifrare/decifrare utilizzando una chiave simmetrica, questo e' possibile grazie al comando:

gpg --output filecifrato --symmetric fileoriginale

dopo il quale viene chiesto all'utente di immettere la chiave simmetrica di cifratura/decifratura.

Sommario Comandi | Top

Fare e verificare firme

Una firma digitale puo' essere utilizzata per certificare l'autenticita' di un documento e del suo realizzatore, identificando univocamente la sua identita'.
Se dopo l'apposizione della firma, il documento venisse modificato, la verifica della firma fallira' riscontrando cosi' tale modifica ed invalidando il documento.

Una firma viene realizzata utilizzando la chiave privata dell'utente firmatario e viene verificata con la sua chiave pubblica, in modo che possa essere soltanto il proprietario della chiave a poter firmare i documenti che sono poi verificabili da chiunque sia in possesso della sua chiave pubblica.

Il comando per apporre una firma digitale ad un documento e' il seguente:

gpg --output filefirmato --sign filedafirmare

viene richiesta la passphrase, generando in uscita il file filefirmato compresso, che contiene anche la firma.

Adesso si puo' solamente verificare la firma, con il comando:

gpg --verify filefirmato

oppure riottenere il file originario con il comando:

gpg --output fileoriginario --decrypt filefirmato

Utilizzando le tecniche sopra descritte, si ottiene per output un file cifrato.
A volte, pero', potrebbe essere comodo firmare un documento, ad esempio un messaggio di testo, in modo da poterlo comunque rendere leggibile ma autenticandolo con la propria firma digitale.

Questo e' il caso delle firme in chiaro, ottenibili con il comando:

gpg --clearsign filedafirmare

che permette sia di firmare il documento, sia di verificarne la firma.

Altro caso che puo' verificarsi, e' quello di volere che la firma non sia inclusa nello stesso file da firmare, ma che sia disponibile in un file separato, lasciando inalterato il file originario.

Una firma distaccata per un file si ottiene con il comando:

gpg --output firma.sig --detach-sig fileoriginario

che genera il file firma.sig da associare al file fileoriginario per la verifica della firma stessa.
Verifica che puo', in questo caso, essere effettuata con il comando:

gpg --verify firma.sig fileoriginario

Sommario Comandi | Top

Usa GnuPG per scambiare informazioni con me

Chi vuole, anche soltanto per provare il software in questione ^_^, puo' scrivere al mio indirizzo reperibile nella sezione Staff (leggi nella Home Page l'avviso riguardante l'e-mail) utilizzando la chiave pubblica riportata qui di seguito:

NB:
Sarei felice se, dopo aver scaricato e firmato la mia chiave pubblica, ovviamente verificando il fingerprint allegato, rispediste la chiave firmata al mio indirizzo: una chiave firmata da piu' persone e' molto piu' attendibile.
La chiave e' anche disponibile in file txt ASCII Armored a questo link.
Sono in attesa che la chiave venga resa disponibile anche nei vari keyserver presenti in rete.

Grazie.

Top

La mia chiave pubblica

Top