Crittografare il file solo con chiave SSH -priv?

Supponiamo di voler crittografare un file in modo che solo io possa leggerlo, conoscendo la mia password della chiave privata SSH. Sto condividendo un repository in cui voglio crittografare o offuscare le informazioni sensibili. Con ciò intendo che il repository conterrà le informazioni, ma le aprirò solo in casi speciali.

1. Supponiamo che io stia usando SSH-agent, esiste un modo semplice per crittografare il file affinché solo io possa aprirlo in seguito?

2. Non riesco a capire perché dovrei usare GPG per questo, domanda qui ; in pratica conosco la password e voglio solo decrittografare il file con la stessa password della mia chiave SSH. È possibile?

Penso che il tuo requisito sia valido, ma d'altra parte è anche difficile, perché stai mescolando la crittografia simmetrica e asimmetrica. Per favore correggimi se sbaglio.

Ragionamento:

1. La passphrase per la tua chiave privata è proteggere la tua chiave privata e nient'altro.
2. Questo porta alla seguente situazione: vuoi usare la tua chiave privata per crittografare qualcosa che solo tu puoi decifrare. La tua chiave privata non è destinata a questo, la tua chiave pubblica è lì per farlo. Qualunque cosa tu cripti con la tua chiave privata può essere decifrata dalla tua chiave pubblica (firma), non è certo quello che vuoi. (Tutto ciò che viene crittografato dalla tua chiave pubblica può essere decrittografato solo dalla tua chiave privata.)
3. Quindi è necessario utilizzare la chiave pubblica per crittografare i dati, ma per questo non è necessaria la passphrase della chiave privata. Solo se vuoi decrittografarlo avrai bisogno della tua chiave privata e della passphrase.

Conclusione: in pratica si desidera riutilizzare la passphrase per la crittografia simmetrica. L'unico programma che vorresti dare alla tua passphrase è ssh-agent e questo programma non esegue la crittografia / decrittografia solo con la passphrase. La passphrase è lì solo per sbloccare la chiave privata e poi dimenticata.

Raccomandazione: utilizzare openssl enco gpg -e --symmetriccon file di chiavi protetti da passphrase per la crittografia. Se è necessario condividere le informazioni, è possibile utilizzare l'infrastruttura a chiave pubblica di entrambi i programmi per creare una PKI / Web of Trust.

Con openssl, qualcosa del genere:

$ openssl enc -aes-256-ctr -in my.pdf -out mydata.enc 

e decifrare qualcosa di simile

$ openssl enc -aes-256-ctr -d -in mydata.enc -out mydecrypted.pdf

Aggiornamento: è importante notare che i comandi openssl di cui sopra NON impediscono la manomissione dei dati. Un semplice capovolgimento del file enc comporterà anche la decodifica dei dati danneggiati. I comandi precedenti non possono rilevarlo, è necessario verificarlo ad esempio con un buon checksum come SHA-256. Esistono modi crittografici per farlo in modo integrato, questo è chiamato HMAC (codice di autenticazione dei messaggi basato su hash).

Preferirei usare l' opensslutilità in quanto sembra essere abbastanza onnipresente.

Converti chiave pubblica RSA e chiave privata in formato PEM:

$ openssl rsa -in ~/.ssh/id_rsa -outform pem > id_rsa.pem
$ openssl rsa -in ~/.ssh/id_rsa -pubout -outform pem > id_rsa.pub.pem

Crittografia di un file con la tua chiave pubblica:

$ openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem -in file.txt -out file.enc

Decifrare il file con la tua chiave privata:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc -out file.txt

Ma, come ha commentato Gilles sopra, questo è adatto solo per crittografare file più piccoli della tua chiave pubblica, quindi potresti fare qualcosa del genere:

Genera una password, crittografa il file con essa in modo simmetrico e crittografa la password con il tuo pubblico, chiave salvandola nel file:

$ openssl rand 64 | 
tee >(openssl enc -aes-256-cbc -pass stdin -in file.txt -out file.enc) |
openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem  -out file.enc.key

Decifrare la passphrase con la chiave privata e usarla per decrittografare il file:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc.key | 
openssl enc -aes-256-cbc -pass stdin -d -in file.enc -out file.txt

Finirai con due file, il tuo file crittografato e la tua passphrase crittografata, ma messi in uno script funzionerebbe bene.

Potresti anche aggiungere un tar cvf file file.enc file.enc.keya riordinare.

In modo ottimale, massimizzeresti la dimensione della tua passphrase e cambierai rand 64anche la dimensione della tua chiave pubblica.

Guarda luks / dm-crypt . Puoi usare la tua chiave privata ssh come chiave di crittografia usando l'opzione appropriata.

Aggiornamento: Esempio di crittografia mediante LUKS con un dispositivo a blocchi LV (test LV nel sistema VG):

KEY=/home/youraccount/.ssh/id_dsa
DEVICE=/dev/system/test
cryptsetup luksFormat $DEVICE $KEY
cryptsetup luksOpen $DEVICE test_crypt --key-file $KEY

Questo dovrebbe generare un dispositivo a blocchi / dev / mapper / test_crypt che puoi usare per archiviare i tuoi dati (dopo averli formattati con un filesystem di tua scelta).

Per sbarazzartene, smontalo e usalo cryptsetup luksClose test_crypt.