id: Гость   вход   регистрация
текущее время 03:28 20/11/2017
создать
просмотр
редакции
ссылки

Управление ключами


Оглавление документа:

В чём отличие ключевой фразы (passphrase) от пароля?

По определению, ключевая фраза состоит из нескольких слов (в отличие от пароля, представляющего собой одно слово или небольшой набор символов), что, в теории, должно упростить вам её запоминание и усложнить взломщику её подбор.


В PGP ключевая фраза служит для защиты вашего закрытого ключа. Технически, закрытый ключ хранится на диске, зашифрованный хэш-значением ключевой фразы. Грамотно составленная ключевая фраза является гарантией того, что даже если некто и получит в своё распоряжение копию закрытого ключа, у него уйдёт очень много времени (вплоть до вечности), чтобы заставить его работать. Имейте в виду, криптографическая стойкость PGP чрезвычайно высока, но вся она упирается в надёжность выбираемых пользователем ключевых фраз.


Программа требует вводить ключевую фразу всякий раз, когда вы пытаетесь воспользоваться своим закрытым ключом (подписать или расшифровать сообщение, изменить текущую ключевую фразу) или внести изменения в содержание сертификата открытого ключа (добавить / удалить имя, аннулировать и т.д.).

Что делать, если я забыл свою ключевую фразу?

Это катастрофическая проблема, у которой нет решения. К сожалению, ключевую фразу восстановить невозможно, равно, как невозможно воспользоваться закрытым ключом в отсутствие ключевой фразы. Если не осталось никаких шансов вспомнить пароль, вам, вероятно, придётся оповестить всех своих корреспондентов, чтобы они не направляли вам сообщений, зашифрованных соответствующим открытым ключом (либо попросить своего "доверенного отменителя" – revoker, чтобы тот аннулировал ключ).


Если Вы испытываете трудности с созданием сложной, но легкозапоминаемой ключевой фразы, обратитесь к методике формирования "фонетического пароля".

Что делать, если был утерян / удалён закрытый ключ?

Как и предыдущая, эта проблема не имеет прямого решения. Подобную ситуацию всегда легче предотвратить, сделав несколько резервных копий своей связки закрытых ключей или индивидуальных закрытых ключей, путём их экспортирования. Обязательно храните резервные копии на внешнем носителе, скажем, на дискете или компакт-диске, чтобы уберечь ключи от потери в случае повреждения основного накопителя, и спрячьте этот носитель в надёжном месте, дабы не допустить попадание закрытых ключей в чужие руки.


!Учтите, это очень важно! Всякий раз, когда вы сгенерировав новую ключевую пару, закрываете окно PGPkeys, программа предлагает сделать резервную копию связки на внешнем носителе. Ни в коем случае не пренебрегайте этой рекомендацией! Не забывайте: если по какой-то причине вы утратите все копии закрытых ключей, то уже никто и ничто не поможет вам восстановить зашифрованные файлы, они будут потеряны навсегда.

Если же произошла катастрофа – вы потеряли свой закрытый ключ, для начала попытайтесь восстановить .skr-файл связки утилитой Undelete (если не в силах сами, обратитесь за помощью к компетентному человеку). Если это невозможно, оповестите своих корреспондентов и попросите своего "доверенного отменителя" аннулировать открытый ключ.

Сколько ключей я могу иметь?

Сколько пожелаете. Но несмотря на то, что вы никак не ограничены в количестве своих ключей, а их генерация может показаться весьма увлекательным делом, не рекомендую заводить их слишком много. Тому есть ряд причин. Во-первых, не пройдёт много времени, как вы окончательно в них запутаетесь. Во-вторых, что более важно, ни один ключ не может быть надёжнее защищающей его ключевой фразы. Нет смысла создавать множество ключей с идентичными ключевыми фразами (а много разных и хороших Вы вряд ли запомните), поскольку взлом любой из них будет равносилен взлому всех. Наконец, в-третьих, при необходимости отправить вам сообщение, незнакомый корреспондент может столкнуться с проблемой выбора ключа для зашифрования.

В меню свойств ключей есть регулятор доверия (Trust). В чём его назначение?

Вопрос модели доверия PGP чрезвычайно обширен. Здесь он будет освещён лишь вкратце, за более подробным описанием обращайтесь к материалам "Введение в криптографию", "Руководство пользователя PGP" и "Web of Trust".


Присвоение того или иного уровня доверия чужому открытому ключу имеет целью определить, насколько вы доверяете его обладателю в подписании (заверении) чужих ключей. Скажем, вам известно, что ваша знакомая, Анна, давно использует криптосистему PGP, посвящена в тонкости её работы и подходит с исключительным вниманием и осторожностью к заверению чужих ключей. Это даёт вам основания полностью ей доверять – вы устанавливаете максимальный уровень Trust для её ключа. В этом случае, если к вам в руки попадает какой-то неизвестный ключ (допустим, когда нужно связаться с незнакомым человеком), уже подписанный Анной, ваш комплекс PGP будет априорно считать этот ключ достоверным. Ведь на нём уже есть подпись Анны, а значит она предприняла определённые шаги к установлению истинного обладателя этого ключа. Также есть некий Борис – начинающий пользователь PGP, которому вы доверяете заверение ключей в гораздо меньшей степени. Вы можете установить уровень Trust на среднее значение, и тогда для определения неизвестного ключа как достоверного одной только подписи Бориса под ним будет уже недостаточно: потребуется ещё одна частично доверенная подпись третьего лица или полностью доверенная подпись, скажем, Анны. (Согласитесь, вероятность того, что сразу два человека подпишут один и тот же липовый ключ несравнимо мала.) Если же навыки Бориса совершенно не располагают к доверию подписываемым им ключам, установите уровень Trust на минимальный уровень, и тогда PGP попросту не будет принимать подпись Бориса в расчёт.

Корпоративные пользователи могут восстановить свой закрытый ключ, даже если забудут ключевую фразу. Реально ли такое для частных пользователей?

Да, с некоторыми ограничениями это возможно. За подробными инструкциями обращайтесь в "Руководство пользователя PGP".

После обновления предыдущей версии PGP до версии 8.0 на любую попытку ввести ключевую фразу, содержащую русские буквы, программа отвечает "Passphrase incorrect".

Проблема заключается в появившейся в PGP 8.0 полной поддержке международной универсальной кодировки UTF-8 (юникод), заменившей собой high ASCII-таблицу, использовавшуюся в версиях до 8.0 для национальных буквенных символов в ключевых фразах. Ситуацию с "неверным паролем" можно решить следующим образом:


  • Установить PGP 8.0.2 и выше, поскольку эти версии поддерживают обе кодировки и должны решать проблему переноса закрытых ключей с ключевыми фразами, содержащими нелатинские символы, из предыдущих версий программы.
  • Если предыдущая рекомендация по каким-то причинам невозможна или не привела к положительному результату, нужно сделать откат версии PGP, удалив текущую 8.х и установив любую предшествующую (7.х и ниже), импортировать в неё свои ключевые пары, изменить их пароли так, чтобы они содержали только латинские буквы (a-z) и цифры (0-9). Затем вновь обновить PGP до 8.х и перенести в неё обновлённые ключевые пары. Теперь можете сменить ключевые фразы так, как пожелаете, если нужно, используя в них кириллицу (что, однако, не рекомендуется) и любые другие нестандартные символы.

Ключ с русским паролем, испортированный / созданный в PGP 8.x, не работает – не вводятся некоторые буквы.

Точная причина этой проблемы, проявляющейся в Windows NT-совместимых системах, по сей день не установлена. Причём часто получается так, что в разных диалоговых окнах не вводятся различные русские буквы, и вы можете совершенно благополучно создать ключ, которым в последствии не сможете воспользоваться. Будет ещё хуже, если прежде чем обнаружить это, вы успеете им что-то зашифровать.


Так или иначе, но единственный способ избежать этой проблемы – просто не использовать кириллицу в паролях. Если же ситуация уже зашла в тупик, и неработоспособность ключа выяснилась уже после зашифрования важного файла, вам придётся либо перенести эту ключевую пару на машину с установленной Windows 98 и PGP, сменить там ключевую фразу на латинскую и после этого вернуть ключ обратно, либо сделать откат версии PGP на 7.х и ниже и проделать в ней с ключом аналогичные манипуляции. Выбор решения зависит от того, в какой версии PGP была сгенерирована данная ключевая пара: смотрите следующий вопрос...

Не работает ключ, экспортированный из PGP 8.0.2 или выше в более раннюю версию.

В соответствие с новой редакцией стандарта OpenPGP в PGP 8.0.2 был несколько модифицирован алгоритм String-to-Key (S2K), с целью повысить надёжность хранения закрытых ключей. Этот алгоритм отвечает за превращение текстовой парольной фразы пользователя в симметричный ключ, который расшифровывает закрытый ключ, когда тот должен быть применён. Проблема в том, что версии до 8.0.2 не могут произвести аналогичное преобразование пароля и, соответственно, расшифровать закрытый ключ. Если пользователь сгенерировал ключ или просто изменил его пароль в версии 8.0.2 и выше, для переноса закрытого ключа в более ранние версии придётся прибегнуть к следующей процедуре:


  1. Откройте свойства ключа, нажмите Change Passphrase, введите текущий пароль, а поля нового оставьте пустыми. Этим вы расшифруете закрытый ключ и оставите его на время незащищённым.
  2. Экспортируйте ключевую пару на дискету, не забыв отметить опцию Include Private Key. Будьте с этим файлом крайне осторожны: закрытый ключ, хранящийся в нём, совершенно не защищён.
  3. Через тот же диалог свойств восстановите пароль закрытого ключа.
  4. Перенесите дискету на машину с ранней версией PGP. Импортируйте ключевую пару на связку.
  5. В свойствах ключа отметьте опцию Implicit Trust и с помощью кнопки Change Passphrase восстановите парольную фразу.
  6. Уничтожьте экспортированный файл функцией PGP Wipe с не менее чем 5-7 проходами очистки.

Пытаюсь зашифровать сообщение, но в окне Key Selection Dialog присутствует только мой собственный ключ / отсутствуют некоторые ключи / отсутствуют всякие ключи.

У такой проблемы может быть несколько причин. Для начала проверьте системные часы компьютера: если они установлены неправильно, какие-то ключи на связке могут оказаться просроченными ( file:key_expired.gif ). Некоторые ключи могут быть временно выключены – названия таких в окне менеджера PGPkeys написаны курсивом, а иконки выглядят тусклыми ( Дезактивированный ключ (1 Кб) ), и шифровать такими ключами нельзя. Чтобы снова их включить, выделите нужные > Keys > Enable.


Третья возможная причина, исправленная в PGP 8.1, – пустая идентификационная запись сертификата одного из открытых ключей на вашей связке: PGP расценивает её как ошибочную и не проверяет состояние других ключей, следующих за данным. Откройте менеджер PGPkeys и просмотрите все имеющиеся ключи на предмет записей подобного вида:


Главная запись сертификата (1 Кб) Vasya Pupkin <pupkin@russia.gov.ru>
Запись сертификата (1 Кб) Vasya Pupkin <pupkin@russia.gov.ru>
Запись сертификата (1 Кб)

Если найдёте ключ, запись сертификата которого пуста, выделите её и удалите. Если ничего такого не обнаружите или удаление пустой записи не возымеет действия, устраните четвёртую возможную причину – повреждение базы данных связки ключей.


  1. Выделите в PGPkeys свои ключевые пары и экспортируйте их в файл: Keys > Export > Include Private Keys.
  2. Теперь создайте новую базу данных связки: File > New.
  3. Укажите в настройках PGP путь к новым только что созданным файлам связки: Edit > Options > вкладка Files.
  4. Импортируйте в новую базу свои ключевые пары и открытые ключи корреспондентов. Откройте свойства каждой своей ключевой пары и установите флажок "безусловного доверия": Keys > Properties > Implicit Trust.

Если после восстановления базы и импортирования всех ключей проблема возобновится, попытайтесь найти вызывающий ошибку ключ, удаляя ключи со связки по одному (не забудьте сделать резервную копию собственных ключевых пар) и после каждого удаления пробуя зашифровать произвольный текст или файл.


Если не поможет и это, откройте окно поиска файлов Windows, введите в поисковый запрос имя файла pgpprefs.txt, откройте найденный файл в любом текстовом редакторе и убедитесь, что параметр AllowEncryptInvalid установлен в состояние TRUE.

В описаниях Сети доверия говорится о ключах из "прочного набора". Как мне добиться, чтобы мой ключ тоже в него входил?

Прочный набор (strong set), составляющий сердце Сети доверия, представляет собой множество ключей, надёжно связанных между собой сертифицирующими подписями и имеющими низкий индекс MSD. Реально в большинстве случаев MSD не учитывается. Чтобы ваш ключ вошёл в прочный набор, как правило, достаточно одной перекрёстной подписи от ключа, уже входящего в прочный набор. Т.е. такой ключ должен заверить ваш, а вы, в свою очередь, — тот ключ.


 
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3