linux: 管理GPG密钥的实用指南

在软件开发和系统管理中，GPG（GNU Privacy Guard）是一种常用的加密工具，用于加密数据、创建和验证数字签名等。为了简化GPG密钥的管理，我们可以编写Bash脚本自动化地生成、导出、删除GPG密钥。本文将介绍一个实用的Bash脚本，帮助你轻松管理GPG公钥和私钥。

1. 脚本功能概述

这个脚本的主要功能包括：

1. 自动生成GPG密钥对。
2. 列出当前系统中的GPG密钥。
3. 导出生成的GPG公钥和私钥。
4. 自动删除生成的GPG密钥。

2. 脚本内容解析

以下是完整的Bash脚本，逐步分析各部分的功能。

#!/bin/bash
# 定义批处理文件的名称
GPG_BATCH_FILE="gpg_batch"

# 使用EOF创建GPG批处理文件
cat << EOF > $GPG_BATCH_FILE
%echo Generating a basic OpenPGP key
Key-Type: RSA
Key-Length: 4096
Subkey-Type: RSA
Subkey-Length: 4096
Name-Real: CBH-UPGRADE
Name-Comment: starting from version 1.0.0
Name-Email: wangyijie@go.com
Expire-Date: 20y
Passphrase: 9wlAh3b09lLILnNPvG+5I8kGW
%commit
%echo done
EOF

# 生成GPG密钥
gpg --batch --generate-key $GPG_BATCH_FILE
gpg --list-keys
gpg --list-secret-keys
# 导出公钥
gpg --armor --export wangyijie@go.com > public.key

# 导出私钥
gpg --pinentry-mode loopback --passphrase '9wlAh3b09lLILnNPvG+5I8kGW' --armor --export-secret-keys wangyijie@go.com > private.key

# 删除生成的GPG密钥
FINGERPRINT=$(gpg -K | grep 'sec' -A 1 | grep -oP '(?<=\s)[A-F0-9]{40}')
gpg --batch --yes --pinentry-mode loopback --delete-secret-key $FINGERPRINT
gpg --batch --yes --pinentry-mode loopback --delete-key $FINGERPRINT

3. 脚本详解

3.1. 创建GPG批处理文件

GPG_BATCH_FILE="gpg_batch"
cat << EOF > $GPG_BATCH_FILE

这里我们使用 cat << EOF > $GPG_BATCH_FILE 命令创建了一个批处理文件，该文件包含了生成GPG密钥所需的参数，如密钥类型、长度、用户信息和过期时间等。这种方式允许我们在脚本中内联GPG命令配置，简化了自动化过程。

3.2. 生成GPG密钥

gpg --batch --generate-key $GPG_BATCH_FILE

使用 --batch 选项结合配置文件自动生成GPG密钥，这样可以避免手动输入，实现全自动化。

3.3. 列出密钥

gpg --list-keys
gpg --list-secret-keys

列出系统中当前存在的公钥和私钥，以便确认密钥生成是否成功。

3.4. 导出公钥和私钥

gpg --armor --export wangyijie@go.com > public.key
gpg --pinentry-mode loopback --passphrase '9wlAh3b09lLILnNPvG+5I8kGW' --armor --export-secret-keys wangyijie@go.com > private.key

将生成的公钥和私钥分别导出为 public.key 和 private.key 文件。--armor 选项将密钥导出为ASCII格式，便于在文本文件中存储。

3.5. 使用私钥签名文件

私钥导入后，您可以使用它来签署文件或数据。以下是如何签名文件的步骤：

步骤1：签名文件

使用以下命令对文件进行签名：

gpg --armor --output signed_file.asc --sign original_file.txt

这将创建一个带有签名的ASCII格式文件 signed_file.asc，该文件包含了签名信息和原始数据。

步骤2：签名并保留原始文件

如果您只想创建一个签名文件而不嵌入原始数据，可以使用以下命令：

gpg --armor --detach-sign original_file.txt

这将生成一个独立的签名文件 original_file.txt.asc，其中包含签名信息，而原始文件保持不变。

确保列表中包含导入的公钥信息。

步骤4：验证签名

使用以下命令验证签名文件的真实性：

gpg --verify signed_file.asc

或者，如果签名文件是独立的（即使用 --detach-sign 生成的），使用以下命令：

gpg --verify original_file.txt.asc original_file.txt

如果签名有效，GPG将输出消息，说明签名的有效性以及签名的密钥信息。

3.6. 删除GPG密钥

FINGERPRINT=$(gpg -K | grep 'sec' -A 1 | grep -oP '(?<=\s)[A-F0-9]{40}')
gpg --batch --yes --pinentry-mode loopback --delete-secret-key $FINGERPRINT
gpg --batch --yes --pinentry-mode loopback --delete-key $FINGERPRINT

最后，脚本自动删除刚才生成的GPG密钥对，以避免密钥泄露或重复使用。通过 gpg -K 命令获取密钥指纹，并使用该指纹删除密钥。

4. 注意事项

• 安全性：脚本中的密钥密码以明文形式存储，这在生产环境中是不安全的。在实际使用中，应考虑通过安全的方式管理和传递密码，例如使用环境变量或专门的密码管理工具。
• 密钥管理：在实际操作中，请确保密钥的妥善保存。导出的私钥应放置在安全的地方，不要与公钥一起公开存储。

5. 结语

本文介绍了如何通过Bash脚本自动化GPG密钥的生成、导出和删除操作。通过这种方式，开发者和系统管理员可以有效地简化密钥管理流程，提升工作效率。如果你需要频繁生成和管理GPG密钥，推荐将此脚本纳入你的工具集。