Linux User Group Mönchengladbach

Ich moechte meine GPG und SSH Keys nutzen, aber nicht dauernd die Passworte neu eingeben. Ich wuerde mich einloggen und bei der ersten Nutzung meiner Keys ein Passwort eingeben wollen und dann fuer die naechste Zeit (z.B. den Rest des Arbeitstages) nicht mehr gefragt werden wollen.

Der SSH-Agent leistet schon gute Arbeit (siehe elssh-agent) und es gibt auch Tools wie Keychain, aber ich koennte genau so gut meinen GPG Agent fuer alles nutzen. Der laeuft sowieso und kann mittlerweile auch SSH-Keys verwalten. Vorteil: er ist bei den meisten Systemen schon „onboard“ und laeuft bereits nach dem X-Login nutzbar im Hintergrund fuer alle Prozesse erreichbar.

Den Start des GPG-Agenten uebernimmt /etc/X11/Xsession.d/90gpg-agent
mit folgenden Zeilen:


: ${GNUPGHOME=$HOME/.gnupg}

# Invoking gpg-agent with no arguments exits successfully if the agent
# is already running as pointed by $GPG_AGENT_INFO
if ! $GPGAGENT 2>/dev/null; then
$GPGAGENT --daemon --sh >"$PID_FILE"
. "$PID_FILE"
fi
fi

… also brauche ich die Zeile


use-agent


in der Datei $HOME/.gnupg/gpg.conf oder $HOME/.gnupg/options, um den GPG-Agenten von X starten zu lassen.

Den Angaben von man gpg-agent folgend kann ich in der Datei $HOME/.gnupg/gpg-agent.conf dem GPG-Agenten einige Verhaltensweisen vorschreiben.

Fuer mich nuetzliche Konfiguraionsparameter in $HOME/.gnupg/gpg-agent.conf

Nun kann ich nach erfolgreichem X-Login auf einer Konsole (oder Terminal 😉 )
den laufenden GPG-Agent ansprechen:


heino@noirtom:~$ ps ax | grep gpg-agent
3471 ? Ss 0:00 /usr/bin/gpg-agent --daemon --sh
4848 pts/1 R+ 0:00 grep gpg-agent
heino@noirtom:~$ # GPG-Agent laeuft also

heino@noirtom:~$ gpg-connect-agent
/help
Available commands:
/echo ARGS Echo ARGS.
/definqfile NAME FILE
Use content of FILE for inquiries with NAME.
NAME may be "*" to match any inquiry.
/definqprog NAME PGM
Run PGM for inquiries matching NAME and pass the
entire line to it as arguments.
/showdef Print all definitions.
/cleardef Delete all definitions.
/sendfd FILE MODE Open FILE and pass descripor to server.
/recvfd Receive FD from server and print.
/help Print this help.
....

heino@noirtom:~$


Jetzt lade ich meinen Lieblings SSH Key in den vom GPG-Agent per Socket
vorgetaeuschten SSH-Agenten.

heino@noirtom:~$ ssh-add -l
The agent has no identities.
heino@noirtom:~$ ssh-add .ssh/keys/heinoon_sshid
Enter passphrase for .ssh/keys/heinoon_sshid:

Identity added: .ssh/keys/heinoon_sshid (.ssh/keys/heinoon_sshid)
heino@noirtom:~$


Dabei gebe ich zuerst mein SSH-Key Passwort ein, wie bei einem normal
laufenden SSH-Agent. Dann oeffnet sich das konfigurierte PINENTRY-UI
und fragt nach einem Passwort, mit der der geheime SSH-Key im
„Schluesselkaestchen“ ($HOME/.gnupg/private-keys-v1.d/) des
GPG-Agenten gespeichert und verschluesselt werden soll. Dieses Passwort
ist frei waehlbar und es macht Sinn, nicht das Passwort des SSH-Keys zu
nehmen, sondern ein gleichwertig komplexes Passwort neu zu ersinnen. 😉

Der geheime SSH Key verschluesselt und gepseichert im Schluesselkasten vom GPG-Agent.


heino@noirtom:~$ ls .gnupg/private-keys-v1.d/
E78A62DB501143D11A82DBE5CA4DE81CA4B0B187.key
heino@noirtom:~$ less .gnupg/private-keys-v1.d/<...>.key
".gnupg/private-keys-v1.d/<...>.key" may be a binary file. See it anyway?
(21:protected-private-key(3:dsa(1:p513: .....
......9:protected25:openpgp-s2k3-sha1-aes-cbc((4:sha18:....
.......7:comment23:.ssh/keys/heinoon_sshid))
heino@noirtom:~$


Fuer die komplette Laufzeit des GPG-Agenten und die Lebensdauer des SSH-Keys
liegt dieser Key fuer die Nutzung bereit …


heino@noirtom:~$ ssh-add -l
4096 f5:52:bd:4a:be:02:74:ed:27:b0:67:78:a5:d8:d2:59 .ssh/keys/heinoon_sshid (DSA)
heino@noirtom:~$


Nach Ablauf der Gueltigkeit dieses SSH-Keys muss ich das neu ersinnte
Passwort (das zum Speichern im GPG-Agent Schluesselkasten) eingeben.
Die Gueltigkeit wird auch nach einem Neustart des Agenten oder des Systems
zurueckgesetzt. Mein eigentliches SSH-Key Passwort brauche ich erst wieder
nach Ablauf der Lebensdauer des Schluessels.

Die Gueltigkeit eiens SSH-Keys festlegen

default-cache-ttl-ssh 28800 # 8 Stunden


Die Lebensdauer eines Keys bestimmt, wie lange er aus dem Schluesselkasten
des GPG-Agenten verwendet werden darf. Innerhalb der Lebensdauer brauche
ich zum Reaktivieren nur das Schluesselkasten-Passwort des Keys, erst
danach muss ich den SSH-Key wieder erneut hinzufuegen (mittels
ssh-add) und brauche das eigentliche SSH-Key Passwort.

Die Lebensdauer eines SSH-Keys festlegen

max-cache-ttl-ssh 43200 # 12 Stunden


Sobald ich nun eine SSH Verbindung aufbaue und dabei mein SSH-Key benoetigt
wird, wird der GPG-Agent den SSH-Key aus dem Schluesselkasten laden, das
zugehoerige Schluesselkasten Passwort abfragen und den SSH-Key benutzen um mich
beim Verbindungsaufbau zu authentifizieren.

Fuer meine GPG-Keys gilt aehnliches, nur das dort die Keys nach Ablauf
der Lebensdauer nicht neu hinzugefuegt werden muessen. Sobald ich einen
GPG-Key benoetige (z.B. fuer Jabber, Mail, …), werde ich nach meinem
Passwort gefragt und aufgrund der Eintraege


default-cache-ttl 28800 # 8 Stunden Gueltigkeit

und

max-cache-ttl 43200 # 12 Stunden Lebensdauer


dann fuer mindestens 8 Stunden kein Passwort mehr eingeben
muessen. Spaetestens nach 12 Stunden jedoch ist der Key ungueltig und ich
muss erneut mein Passwort eingeben, aber das sollte dann doch zu schaffen
sein. 😉

Zum Schluss noch moechte ich meinen GPG-Agenten anweisen, das Passwort nicht fuer
Signier Aktionen zu nutzen. Das sollte jedesmal meine volle Aufmerksamkeit
fordern. Dazu die folgende Zeile in die Datei $HOME/.gnupg/gpg-agent.conf>

ignore-cache-for-signing


Viel Spass mit dem GPG-Agent. Weiteres kommt …