Datei nur mit SSH -Priv-Key verschlüsseln?

Angenommen, ich möchte eine Datei verschlüsseln, damit nur ich sie lesen kann, wenn ich mein Kennwort für den privaten SSH-Schlüssel kenne. Ich teile ein Repo, in dem ich vertrauliche Informationen verschlüsseln oder verschleiern möchte. Damit meine ich, dass das Repo die Informationen enthalten wird, aber ich werde es nur in besonderen Fällen öffnen.

1. Angenommen, ich verwende SSH-Agent. Gibt es eine einfache Möglichkeit, die Datei zu verschlüsseln, damit sie später nur ich öffnen kann?

2. Ich kann nicht verstehen, warum ich GPG für diese Frage verwenden soll . Grundsätzlich kenne ich das Passwort und möchte die Datei nur mit demselben Passwort wie mein SSH-Schlüssel entschlüsseln. Ist das möglich?

Ich denke, Ihre Anforderung ist gültig, aber andererseits ist es auch schwierig, weil Sie symmetrische und asymmetrische Verschlüsselung mischen. Bitte korrigieren Sie mich, falls ich falsch liege.

Argumentation:

1. Die Passphrase für Ihren privaten Schlüssel dient zum Schutz Ihres privaten Schlüssels und sonst nichts.
2. Dies führt zu folgender Situation: Sie möchten Ihren privaten Schlüssel verwenden, um etwas zu verschlüsseln, das nur Sie entschlüsseln können. Ihr privater Schlüssel ist dafür nicht vorgesehen, dafür ist Ihr öffentlicher Schlüssel da. Was immer Sie mit Ihrem privaten Schlüssel verschlüsseln, kann mit Ihrem öffentlichen Schlüssel (Signieren) entschlüsselt werden. Das ist sicherlich nicht das, was Sie wollen. (Was immer mit Ihrem öffentlichen Schlüssel verschlüsselt wird, kann nur mit Ihrem privaten Schlüssel entschlüsselt werden.)
3. Sie müssen also Ihren öffentlichen Schlüssel verwenden, um Ihre Daten zu verschlüsseln. Dafür benötigen Sie jedoch keine Passphrase für den privaten Schlüssel. Nur wenn Sie es entschlüsseln möchten, benötigen Sie Ihren privaten Schlüssel und die Passphrase.

Fazit: Grundsätzlich möchten Sie Ihre Passphrase für die symmetrische Verschlüsselung wiederverwenden. Das einzige Programm, das Sie für Ihre Passphrase verwenden möchten, ist ssh-agent. Dieses Programm verschlüsselt / entschlüsselt nicht nur die Passphrase. Die Passphrase dient nur zum Entsperren Ihres privaten Schlüssels und wird dann vergessen.

Empfehlung: Verwenden Sie openssl encoder gpg -e --symmetricmit passphrasengeschützten Schlüsseldateien zur Verschlüsselung. Wenn Sie die Informationen weitergeben müssen, können Sie die Infrastruktur für öffentliche Schlüssel beider Programme verwenden, um eine PKI / ein Web of Trust zu erstellen.

Mit openssl ungefähr so:

$ openssl enc -aes-256-ctr -in my.pdf -out mydata.enc 

und Entschlüsselung so etwas wie

$ openssl enc -aes-256-ctr -d -in mydata.enc -out mydecrypted.pdf

Update: Es ist wichtig zu beachten, dass die obigen openssl-Befehle NICHT verhindern, dass Daten manipuliert werden. Ein einfacher Bit-Flip in der enc-Datei führt ebenfalls zu beschädigten entschlüsselten Daten. Die obigen Befehle können dies nicht erkennen, Sie müssen dies beispielsweise mit einer guten Prüfsumme wie SHA-256 überprüfen. Es gibt kryptografische Möglichkeiten, dies auf integrierte Weise zu tun. Dies wird als HMAC (Hash-based Message Authentication Code) bezeichnet.

Ich würde es vorziehen, das opensslDienstprogramm zu verwenden, da es ziemlich allgegenwärtig zu sein scheint.

Konvertieren Sie den öffentlichen und den privaten RSA-Schlüssel in das PEM-Format:

$ openssl rsa -in ~/.ssh/id_rsa -outform pem > id_rsa.pem
$ openssl rsa -in ~/.ssh/id_rsa -pubout -outform pem > id_rsa.pub.pem

Verschlüsseln einer Datei mit Ihrem öffentlichen Schlüssel:

$ openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem -in file.txt -out file.enc

Entschlüsseln Sie die Datei mit Ihrem privaten Schlüssel:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc -out file.txt

Wie Gilles bereits erwähnt hat, ist dies jedoch nur zum Verschlüsseln von Dateien geeignet, die kleiner als Ihr öffentlicher Schlüssel sind. Sie können also Folgendes tun:

Generieren Sie ein Passwort, verschlüsseln Sie die Datei symmetrisch und verschlüsseln Sie das Passwort mit Ihrem öffentlichen Schlüssel. Speichern Sie es in der Datei:

$ openssl rand 64 | 
tee >(openssl enc -aes-256-cbc -pass stdin -in file.txt -out file.enc) |
openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem  -out file.enc.key

Entschlüsseln Sie die Passphrase mit Ihrem privaten Schlüssel und verwenden Sie sie zum Entschlüsseln der Datei:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc.key | 
openssl enc -aes-256-cbc -pass stdin -d -in file.enc -out file.txt

Sie werden am Ende zwei Dateien haben, Ihre verschlüsselte Datei und Ihre verschlüsselte Passphrase, aber in einem Skript würde es gut funktionieren.

Sie könnten sogar eine hinzufügen, tar cvf file file.enc file.enc.keyum aufzuräumen.

Optimalerweise maximieren Sie die Größe Ihrer Passphrase und ändern sie rand 64in die Größe Ihres öffentlichen Schlüssels.

Schau dir luks / dm-crypt an . Sie können Ihren ssh-private-key als Verschlüsselungsschlüssel verwenden, indem Sie die entsprechende Option verwenden.

Update: Beispielverschlüsselung mit LUKS mit einem LV-Block-Gerät (LV-Test im VG-System):

KEY=/home/youraccount/.ssh/id_dsa
DEVICE=/dev/system/test
cryptsetup luksFormat $DEVICE $KEY
cryptsetup luksOpen $DEVICE test_crypt --key-file $KEY

Dies sollte ein Block-Device / dev / mapper / test_crypt erzeugen, auf dem Sie Ihre Daten speichern können (nachdem Sie sie mit einem Dateisystem Ihrer Wahl formatiert haben).

Um es loszuwerden, ummontieren und verwenden cryptsetup luksClose test_crypt.