Mengenkripsi file hanya dengan SSH -priv-key?

Misalkan saya ingin mengenkripsi file sehingga hanya saya yang bisa membacanya, dengan mengetahui kata sandi kunci pribadi SSH saya. Saya membagikan repo di mana saya ingin mengenkripsi atau mengaburkan informasi sensitif. Maksud saya, repo itu akan berisi informasi tetapi saya akan membukanya hanya dalam kasus-kasus khusus.

1. Misalkan saya menggunakan SSH-agent, adakah cara mudah untuk mengenkripsi file hanya dengan saya untuk membukanya nanti?

2. Saya tidak bisa melihat mengapa saya harus menggunakan GPG untuk ini, pertanyaan di sini ; pada dasarnya saya tahu kata sandi dan saya hanya ingin mendekripsi file dengan kata sandi yang sama dengan kunci SSH saya. Apakah ini mungkin?

Saya pikir persyaratan Anda valid, tetapi di sisi lain juga sulit, karena Anda mencampur enkripsi simetris dan asimetris. Harap perbaiki saya jika saya salah.

Pemikiran:

1. Frasa sandi untuk kunci pribadi Anda adalah untuk melindungi kunci pribadi Anda dan tidak ada yang lain.
2. Ini mengarah pada situasi berikut: Anda ingin menggunakan kunci pribadi Anda untuk mengenkripsi sesuatu yang hanya dapat Anda dekripsi. Kunci pribadi Anda tidak dimaksudkan untuk itu, kunci publik Anda ada di sana untuk melakukan itu. Apa pun yang Anda enkripsi dengan kunci pribadi Anda dapat didekripsi dengan kunci publik Anda (penandatanganan), itu tentu bukan yang Anda inginkan. (Apa pun yang dienkripsi dengan kunci publik Anda hanya dapat didekripsi dengan kunci pribadi Anda.)
3. Jadi Anda perlu menggunakan kunci publik Anda untuk mengenkripsi data Anda, tetapi untuk itu, Anda tidak memerlukan kata sandi kunci pribadi Anda untuk itu. Hanya jika Anda ingin mendekripsi, Anda akan memerlukan kunci pribadi dan frasa sandi Anda.

Kesimpulan: Pada dasarnya Anda ingin menggunakan kembali frasa sandi Anda untuk enkripsi simetris. Satu-satunya program yang Anda ingin berikan passphrase Anda adalah ssh-agent dan program ini tidak melakukan enkripsi / dekripsi hanya dengan passphrase. Frasa sandi hanya ada untuk membuka kunci pribadi Anda dan kemudian dilupakan.

Rekomendasi: Gunakan openssl encatau gpg -e --symmetricdengan keyfiles yang dilindungi frasa sandi untuk enkripsi. Jika Anda perlu berbagi informasi, Anda dapat menggunakan infrastruktur publik kunci dari kedua program untuk membuat PKI / Web of Trust.

Dengan openssl, sesuatu seperti ini:

$ openssl enc -aes-256-ctr -in my.pdf -out mydata.enc 

dan dekripsi sesuatu seperti

$ openssl enc -aes-256-ctr -d -in mydata.enc -out mydecrypted.pdf

Pembaruan: Penting untuk dicatat bahwa perintah openssl di atas JANGAN mencegah data dirusak. Sedikit flip sederhana dalam file enc akan menghasilkan data dekripsi yang rusak juga. Perintah di atas tidak dapat mendeteksi ini, Anda perlu memeriksa ini misalnya dengan checksum yang baik seperti SHA-256. Ada cara kriptografis untuk melakukan ini secara terpadu, ini disebut HMAC (Kode Otentikasi Pesan Berbasis Hash).

Saya lebih suka menggunakan opensslutilitas karena tampaknya cukup ada di mana-mana.

Ubah kunci publik RSA dan kunci pribadi ke format PEM:

$ openssl rsa -in ~/.ssh/id_rsa -outform pem > id_rsa.pem
$ openssl rsa -in ~/.ssh/id_rsa -pubout -outform pem > id_rsa.pub.pem

Mengenkripsi file dengan kunci publik Anda:

$ openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem -in file.txt -out file.enc

Mendekripsi file dengan kunci pribadi Anda:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc -out file.txt

Tetapi, seperti yang dikomentari Gilles di atas, ini hanya cocok untuk mengenkripsi file yang lebih kecil dari kunci publik Anda, sehingga Anda dapat melakukan sesuatu seperti ini:

Menghasilkan kata sandi, mengenkripsi file dengan itu secara simetris, dan mengenkripsi kata sandi dengan publik Anda, kunci menyimpannya ke file:

$ openssl rand 64 | 
tee >(openssl enc -aes-256-cbc -pass stdin -in file.txt -out file.enc) |
openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem  -out file.enc.key

Dekripsi frasa sandi dengan kunci pribadi Anda dan gunakan untuk mendekripsi file:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc.key | 
openssl enc -aes-256-cbc -pass stdin -d -in file.enc -out file.txt

Anda akan berakhir dengan dua file, file terenkripsi dan frasa sandi terenkripsi Anda, tetapi dimasukkan ke dalam skrip yang akan berfungsi dengan baik.

Anda bahkan dapat menambahkan tar cvf file file.enc file.enc.keyuntuk merapikan.

Secara optimal, Anda akan memaksimalkan ukuran frasa sandi Anda dan juga mengubah rand 64ukuran kunci publik Anda.

Lihatlah luks / dm-crypt . Anda dapat menggunakan ssh-private-key Anda sebagai kunci enkripsi dengan menggunakan opsi yang sesuai.

Pembaruan: Contoh enkripsi menggunakan LUKS dengan perangkat LV-block (uji LV dalam sistem VG):

KEY=/home/youraccount/.ssh/id_dsa
DEVICE=/dev/system/test
cryptsetup luksFormat $DEVICE $KEY
cryptsetup luksOpen $DEVICE test_crypt --key-file $KEY

Ini seharusnya menghasilkan perangkat blok / dev / mapper / test_crypt yang dapat Anda gunakan untuk menyimpan data Anda (setelah memformatnya dengan sistem file pilihan Anda).

Untuk menghilangkannya, lakukan umount, dan gunakan cryptsetup luksClose test_crypt.