OpenPGP Card initialisieren (alt)

Eine OpenPGP Card bzw. einen Crypto Stick für die Nutzung vorbereiten

Hierbei handelt es sich um die alte Version dieser Anleitung, welche nicht mehr verwendet werden sollte. Die neue Version finden Sie hier.

Vorbemerkungen

Hier wird ein etwas aufwendigerer Weg der Initialisierung beschrieben. Die folgende Anleitung basiert auf der Beschreibung der fsfe, wurde aber aus folgendem Grund verändert:

Leider kommen die meisten KDE-Programme (Kleopatra, KMail/Kontact) nicht mit ausschließlichem Einsatz von Subkeys klar (oder wir wissen nicht wie), deswegen ist eine so initialisierte Karte unter KDE derzeit nicht sinnvoll nutzbar.

Die Karte erhält mit der folgenden Beschreibung eine Struktur, welche identisch zu der mit dem Kommando "gpg --card-edit" erstellten Struktur (ein Hauptschlüssel zum Signieren, ein Unterschlüssel zum Verschlüsseln) ist. Zusätzlich wird noch ein Unterschlüssel zum Authentifizieren angelegt.

Vorteil im Vergleich zur Nutzung von "gpg --card-edit" ist, daß ein Backup aller Schlüssel und nicht nur ein Backup des Verschlüsselungs-Schlüssels angelegt wird.

Nachteil zur Variante der fsfe ist, daß der Hauptschlüssel, mit welchem auch neue Schlüssel erstellt werden können, im täglichen Gebrauch genutzt wird und somit "höheren Gefahren" ausgesetzt ist.

Voraussetzungen

Beschrieben wird die Einrichtung der Smartcard unter Linux (im konkreten Beispiel: Gentoo). Folgende Punkte sollten bereits erfüllt/vorhanden sein:

eine OpenPGP Card Version 2 oder ein Crypto Stick Version 1 (dieser enthält eine OpenPGP Card Version 2)

eingerichteter Kartenleser für die Crypto Card bzw. Hardware-Zugriff auf den Crypto Stick (i.A. genügt die Installation von ccid, pcsc-lite sowie GNUPG Version 2 mit Smartcard-Unterstützung)

GnuPG in Version 2.x wurde mit SmardCard-Support installiert. Der gpg-agent läuft.

Letzteres kann z.B. unter Gentoo mit KDE durch Aktivierung folgenden Eintrages in der Datei /etc/kde/startup/agent-startup.sh erreicht werden:

if [ -x /usr/bin/gpg-agent ]; then
eval "$(/usr/bin/gpg-agent --daemon)"
fi

Sind die Voraussetzungen erfüllt, sollte die Abfrage des Kartenstatus möglich sein:

$ gpg --card-status
Application ID ...: F2760001240102000005000010B10000
Version ..........: 2.0
Manufacturer .....: ZeitControl
Serial number ....: 000010B1
Name of cardholder: [nicht gesetzt]
Language prefs ...: de
Sex ..............: unbestimmt
URL of public key : [nicht gesetzt]
Login data .......: [nicht gesetzt]
Signature PIN ....: zwingend
Key attributes ...: 2048R 2048R 2048R
Max. PIN lengths .: 32 32 32
PIN retry counter : 3 0 3
Signature counter : 0
Signature key ....: [none]
Encryption key....: [none]
Authentication key: [none]
General key info..: [none]

Karte personalisieren

Es können verschiedene Daten der Karte angepaßt werden:

$ gpg --card-edit

Application ID ...: F2760001240102000005000010B20000
Version ..........: 2.0
Manufacturer .....: ZeitControl
Serial number ....: 000010B2
Name of cardholder: [nicht gesetzt]
Language prefs ...: [nicht gesetzt]
Sex ..............: unbestimmt
URL of public key : [nicht gesetzt]
Login data .......: [nicht gesetzt]
Signature PIN ....: zwingend
Key attributes ...: 0R 0R 0R
Max. PIN lengths .: 0 0 0
PIN retry counter : 0 0 0
Signature counter : 0
Signature key ....: [none]
Encryption key....: [none]
Authentication key: [none]
General key info..: [none]

gpg/card> ?
quit       Menü verlassen
admin      Zeige Admin-Befehle
help       Diese Hilfe zeigen
list       Alle vorhandenen Daten auflisten
fetch      Holen des Schlüssels mittels der URL auf der Karte
passwd     Menü für Ändern oder Entsperren der PIN
verify     überprüfe die PIN und liste alle Daten auf
unblock    die PIN mit dem Rückstellcode wieder freigeben

gpg/card> admin
Admin-Befehle sind erlaubt

gpg/card> ?
quit       Menü verlassen
admin      Zeige Admin-Befehle
help       Diese Hilfe zeigen
list       Alle vorhandenen Daten auflisten
name       Kartenbesitzernamen ändern
url        Schlüssel-holen-URL ändern
fetch      Holen des Schlüssels mittels der URL auf der Karte
login      Ändern der Logindaten
lang       Ändern der Spracheinstellungen
sex        Ändern des Geschlechts des Kartenbesitzers
cafpr      Ändern des CA-Fingerabdrucks
forcesig   Umschalten des "Signature-force-PIN"-Schalters
generate   neue Schlüssel erzeugen
passwd     Menü für Ändern oder Entsperren der PIN
verify     überprüfe die PIN und liste alle Daten auf
unblock    die PIN mit dem Rückstellcode wieder freigeben

gpg/card> name
Familienname des Kartenbesitzers:Mustermann
Vorname des Kartenbesitzers:Max

gpg/card> sex
Geschlecht: (Männlich (M), Weiblich (F) oder Leerzeichen): m

gpg/card> lang
Spracheinstellungende

gpg/card> list

Application ID ...: D2760001240102000005000010B20000
Version ..........: 2.0
Manufacturer .....: ZeitControl
Serial number ....: 000010B2
Name of cardholder: Max Mustermann
Language prefs ...: de
Sex ..............: männlich
URL of public key : [nicht gesetzt]
Login data .......: [nicht gesetzt]
Signature PIN ....: zwingend
Key attributes ...: 0R 0R 0R
Max. PIN lengths .: 0 0 0
PIN retry counter : 0 0 0
Signature counter : 0
Signature key ....: [none]
Encryption key....: [none]
Authentication key: [none]
General key info..: [none]

Wichtig ist vor allem auch das Ändern der PINs:

$ gpg --change-pin

1 - change PIN
2 - unblock PIN
3 - change Admin PIN
4 - set the Reset Code
Q - quit

Ihre Auswahl? 1
Im PINEntry-Fenster oder auf der Konsole
die alte und 2mal die neue PIN eingeben
PIN changed.

1 - change PIN
2 - unblock PIN
3 - change Admin PIN
4 - set the Reset Code
Q - quit

Ihre Auswahl? 3
Im PINEntry-Fenster oder auf der Konsole
die alte und 2mal die neue PIN eingeben
PIN changed.

1 - change PIN
2 - unblock PIN
3 - change Admin PIN
4 - set the Reset Code
Q - quit

Ihre Auswahl? q

GnuPG-Schlüssel erstellen

Der Schlüssel wird nicht einfach auf der Karte erstellt, was zwar prinzipiell sicherer wäre, allerdings nicht die Möglichkeit bietet, von allen Schlüsseln ein Backup anzulegen. Im Falle eines Verlustes bzw. Defektes der Smartcard wären die Schlüssel somit verloren.

Der Schlüssel wird wie folgt erstellt:

$ gpg --gen-key
gpg (GnuPG) 2.0.18; Copyright (C) 2011 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Bitte wählen Sie, welche Art von Schlüssel Sie möchten:
(1) RSA und RSA (voreingestellt)
(2) DSA und Elgamal
(3) DSA (nur signieren/beglaubigen)
(4) RSA (nur signieren/beglaubigen)
Ihre Auswahl? 1
RSA-Schlüssel können zwischen 1024 und 4096 Bit lang sein.
Welche Schlüssellänge wünschen Sie? (2048) 2048
Die verlangte Schlüssellänge beträgt 2048 Bit
Bitte wählen Sie, wie lange der Schlüssel gültig bleiben soll.
0 = Schlüssel verfällt nie
<n> = Schlüssel verfällt nach n Tagen
<n>w = Schlüssel verfällt nach n Wochen
<n>m = Schlüssel verfällt nach n Monaten
<n>y = Schlüssel verfällt nach n Jahren
Wie lange bleibt der Schlüssel gültig? (0) 0
Schlüssel verfällt nie
Ist dies richtig? (j/N) j

GnuPG erstellt eine User-ID um Ihren Schlüssel identifizierbar zu machen.

Ihr Name ("Vorname Nachname"): Max Mustermann
Email-Adresse: maxm@mustermann-privat.de
Kommentar: privat
Sie haben diese User-ID gewählt:
"Max Mustermann (privat) <maxm@mustermann-privat.de>"

Ändern: (N)ame, (K)ommentar, (E)-Mail oder (F)ertig/(A)bbrechen? f
Sie benötigen eine Passphrase, um den geheimen Schlüssel zu schützen.
<Im PINEntry-Fenster oder auf der Konsole die Passphrase eingeben>
Wir müssen eine ganze Menge Zufallswerte erzeugen. Sie können dies
unterstützen, indem Sie z.B. in einem anderen Fenster/Konsole irgendetwas
tippen, die Maus verwenden oder irgendwelche anderen Programme benutzen.
Wir müssen eine ganze Menge Zufallswerte erzeugen. Sie können dies
unterstützen, indem Sie z.B. in einem anderen Fenster/Konsole irgendetwas
tippen, die Maus verwenden oder irgendwelche anderen Programme benutzen.
gpg: ~/.gnupg/trustdb.gpg: trust-db erzeugt
gpg: Schlüssel F8AA81DF ist als uneingeschränkt vertrauenswürdig gekennzeichnet
Öffentlichen und geheimen Schlüssel erzeugt und signiert.

gpg: "Trust-DB" wird überprüft
gpg: 3 marginal-needed, 1 complete-needed, PGP Vertrauensmodell
gpg: Tiefe: 0 gültig:   1 signiert:   0 Vertrauen: 0-, 0q, 0n, 0m, 0f, 1u
pub   2048R/F8AA81DF 2011-12-23
Schl.-Fingerabdruck = FDA7 52BF 658C 7ABC 105F 8D3D F85D B1C1 A8AA 81DF
uid                  Max Mustermann (privat) <maxm@mustermann-privat.de>
sub   2048R/F766CBEA 2011-12-23

Damit wurden lokal auf dem PC der Hauptschlüssel zum Signieren mit der ID F8AA81DF sowie ein Unterschlüssel zum Verschlüsseln mit der ID F766CBEA erzeugt.

Authentication Key

Soll die Karte auch zum Authentifizieren (z.B. SSH) genutzt werden, braucht man noch einen Authentication Key. Dieser wird nun erzeugt:

$ gpg --expert --edit F8AA81DF addkey
gpg (GnuPG) 2.0.18; Copyright (C) 2011 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Geheimer Schlüssel ist vorhanden.

pub 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals     Aufruf: SC
Vertrauen: uneingeschränkt Gültigkeit: uneingeschränkt
sub 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals     Aufruf: E
[ uneing.] (1). Max Mustermann (privat) <maxm@mustermann-privat.de>

Schlüssel ist geschützt.

Sie benötigen eine Passphrase, um den geheimen Schlüssel zu entsperren.
Benutzer: "Max Mustermann (privat) <maxm@mustermann-privat.de>"
2048-Bit RSA Schlüssel, ID F8AA81DF, erzeugt 2011-12-23

Bitte wählen Sie, welche Art von Schlüssel Sie möchten:
(3) DSA (nur signieren/beglaubigen)
(4) RSA (nur signieren/beglaubigen)
(5) Elgamal (nur verschlüsseln)
(6) RSA (nur verschlüsseln)
(7) DSA (Leistungsfähigkeit selber einstellbar)
(8) RSA (Leistungsfähigkeit selber einstellbar)
Ihre Auswahl? 8

Mögliche Vorgänge eines RSA-Schlüssels: Signieren Verschl. Authentisierung
Derzeit erlaubte Vorgänge: Signieren Verschl.

(U) Umschalten der Signaturfähigkeit
(V) Umschalten der Verschlüsselungsfähigkeit
(A) Umschalten der Authentisierungsfähigkeit
(Q) Beenden

Ihre Auswahl? u

Mögliche Vorgänge eines RSA-Schlüssels: Signieren Verschl. Authentisierung
Derzeit erlaubte Vorgänge: Verschl.

(U) Umschalten der Signaturfähigkeit
(V) Umschalten der Verschlüsselungsfähigkeit
(A) Umschalten der Authentisierungsfähigkeit
(Q) Beenden

Ihre Auswahl? v

Mögliche Vorgänge eines RSA-Schlüssels: Signieren Verschl. Authentisierung
Derzeit erlaubte Vorgänge:

(U) Umschalten der Signaturfähigkeit
(V) Umschalten der Verschlüsselungsfähigkeit
(A) Umschalten der Authentisierungsfähigkeit
(Q) Beenden

Ihre Auswahl? a

Mögliche Vorgänge eines RSA-Schlüssels: Signieren Verschl. Authentisierung
Derzeit erlaubte Vorgänge: Authentisierung

(U) Umschalten der Signaturfähigkeit
(V) Umschalten der Verschlüsselungsfähigkeit
(A) Umschalten der Authentisierungsfähigkeit
(Q) Beenden

Ihre Auswahl? q
RSA-Schlüssel können zwischen 1024 und 4096 Bit lang sein.
Welche Schlüssellänge wünschen Sie? (2048)
Die verlangte Schlüssellänge beträgt 2048 Bit
Bitte wählen Sie, wie lange der Schlüssel gültig bleiben soll.
0 = Schlüssel verfällt nie
<n> = Schlüssel verfällt nach n Tagen
<n>w = Schlüssel verfällt nach n Wochen
<n>m = Schlüssel verfällt nach n Monaten
<n>y = Schlüssel verfällt nach n Jahren
Wie lange bleibt der Schlüssel gültig? (0) 0
Schlüssel verfällt nie
Ist dies richtig? (j/N) j
Wirklich erzeugen? (j/N) j
Wir müssen eine ganze Menge Zufallswerte erzeugen. Sie können dies
unterstützen, indem Sie z.B. in einem anderen Fenster/Konsole irgendetwas
tippen, die Maus verwenden oder irgendwelche anderen Programme benutzen.

pub 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals     Aufruf: SC
Vertrauen: uneingeschränkt Gültigkeit: uneingeschränkt
sub 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals     Aufruf: E
sub 2048R/FBCAFEEA erzeugt: 2011-12-23 verfällt: niemals     Aufruf: A
[ uneing.] (1). Max Mustermann (privat) <maxm@mustermann-privat.de>

gpg> save

Zusätzliche Identitäten

Möchte man die erzeugten Schlüssel z.B. für mehrere E-Mail-Adressen nutzen, kann man einfach weitere Identitäten hinzufügen:

Der Schlüssel ist nun mit beiden Identitäten verknüpft:

$ gpg --list-keys
gpg: "Trust-DB" wird überprüft
gpg: 3 marginal-needed, 1 complete-needed, PGP Vertrauensmodell
gpg: Tiefe: 0 gültig:   1 signiert:   0 Vertrauen: 0-, 0q, 0n, 0m, 0f, 1u
~/.gnupg/pubring.gpg
---------------------------------
pub   2048R/F8AA81DF 2011-12-23
uid                  Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>
uid                  Max Mustermann (privat) <maxm@mustermann-privat.de>
sub   2048R/F766CBEA 2011-12-23
sub   2048R/FBCAFEEA 2011-12-23

Backup des Keyring erstellen

Nun wird der erzeugte Keyring gesichert (auf CD, USB-Stick...), z.B.:

$ cp ~/.gnupg/secring.gpg /media/USB-Stick/
$ cp ~/.gnupg/pubring.gpg /media/USB-Stick/

Das genutzte externe Medium sollte nun sicher verwahrt werden.

Keys auf die Karte verschieben

Nun können die erzeugten Schlüssel auf die Smartcard verschoben werden:

$ gpg --edit-key F8AA81DF
gpg (GnuPG) 2.0.18; Copyright (C) 2011 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Geheimer Schlüssel ist vorhanden.

pub 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals     Aufruf: SC
Vertrauen: uneingeschränkt Gültigkeit: uneingeschränkt
sub 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals     Aufruf: E
sub 2048R/FBCAFEEA erzeugt: 2011-12-23 verfällt: niemals     Aufruf: A
[ uneing.] (1). Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>
[ uneing.] (2) Max Mustermann (privat) <maxm@mustermann-privat.de>

gpg> toggle

sec 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals
ssb 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals
ssb 2048R/FBCAFEEA erzeugt: 2011-12-23 verfällt: niemals
(1) Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>
(2) Max Mustermann (privat) <maxm@mustermann-privat.de>

gpg> keytocard
Den Hauptschlüssel wirklich verschieben? (j/N) j
Signature key ....: F874 9087 0E11 6AC0 EFAD 0848 8F14 C119 1EB1 06B3
Encryption key....: F886 D7FC 6328 682C 51FB 21EE FB3D 7891 8374 0F93
Authentication key: FC4B 61A4 33E9 0821 DCA0 BA76 6786 81D0 7B63 4683

Wählen Sie den Speicherort für den Schlüssel:
(1) Signatur-Schlüssel
(3) Authentisierungs-Schlüssel
Ihre Auswahl? 1

Sie benötigen eine Passphrase, um den geheimen Schlüssel zu entsperren.
Benutzer: "Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>"
2048-Bit RSA Schlüssel, ID F8AA81DF, erzeugt 2011-12-23

sec 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals
ssb 2048R/FBCAFEEA erzeugt: 2011-12-23 verfällt: niemals
(1) Max Mustermann (privat) <maxm@mustermann-privat.de>
(2) Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>

gpg> key 1

sec 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb* 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals
ssb 2048R/FBCAFEEA erzeugt: 2011-12-23 verfällt: niemals
(1) Max Mustermann (privat) <maxm@mustermann-privat.de>
(2) Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>

gpg> keytocard
Signature key ....: F874 9087 0E11 6AC0 EFAD 0848 8F14 C119 1EB1 06B3
Encryption key....: F886 D7FC 6328 682C 51FB 21EE FB3D 7891 8374 0F93
Authentication key: FC4B 61A4 33E9 0821 DCA0 BA76 6786 81D0 7B63 4683

Wählen Sie den Speicherort für den Schlüssel:
(2) Verschlüsselungs-Schlüssel
Ihre Auswahl? 2

Sie benötigen eine Passphrase, um den geheimen Schlüssel zu entsperren.
Benutzer: "Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>"
2048-Bit RSA Schlüssel, ID F766CBEA, erzeugt 2011-12-23

sec 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb* 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb 2048R/FBCAFEEA erzeugt: 2011-12-23 verfällt: niemals
(1) Max Mustermann (privat) <maxm@mustermann-privat.de>
(2) Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>

gpg> key 1

sec 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb 2048R/FBCAFEEA erzeugt: 2011-12-23 verfällt: niemals
(1) Max Mustermann (privat) <maxm@mustermann-privat.de>
(2) Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>

gpg> key 2

sec 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb* 2048R/FBCAFEEA erzeugt: 2011-12-23 verfällt: niemals
(1) Max Mustermann (privat) <maxm@mustermann-privat.de>
(2) Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>

gpg> keytocard
Signature key ....: F874 9087 0E11 6AC0 EFAD 0848 8F14 C119 1EB1 06B3
Encryption key....: F886 D7FC 6328 682C 51FB 21EE FB3D 7891 8374 0F93
Authentication key: FC4B 61A4 33E9 0821 DCA0 BA76 6786 81D0 7B63 4683

Wählen Sie den Speicherort für den Schlüssel:
(3) Authentisierungs-Schlüssel
Ihre Auswahl? 3

Sie benötigen eine Passphrase, um den geheimen Schlüssel zu entsperren.
Benutzer: "Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>"
2048-Bit RSA Schlüssel, ID FBCAFEEA, erzeugt 2011-12-23

sec 2048R/F8AA81DF erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb 2048R/F766CBEA erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
ssb* 2048R/FBCAFEEA erzeugt: 2011-12-23 verfällt: niemals
Kartennummer:0005 000010B2
(1) Max Mustermann (privat) <maxm@mustermann-privat.de>
(2) Max Mustermann (Unitas Network) <mmustermann@unitas-network.de>

gpg> save

Anpassen Konfiguration

Um alles, was man selbst verschlüsselt hat, auch wieder selbst entschlüsseln zu können, wird folg. in die Konfiguration eingetragen:

$ nano -w ~/.gnupg/gpg.conf
# Damit kann alles, was selbst verschlüsselt wurde, auch selbst wieder
# entschlüsselt werden
hidden-encrypt-to 0xF766CBEA!
default-recipient 0xF766CBEA!

Die ID ist die des Schlüssels, welcher weiter oben mit "Aufruf: E" gekennzeichnet ist (der Encryption-Key).

Karte testen

Nun testen wir die Smartcard. Zuerst wird eine Datei erzeugt und der Inhalt nochmal angezeigt:

$ echo "Das ist ein Test" > ~/Test.txt
$ cat ~/Test.txt
Das ist ein Test

Dann wird die Datei im ASCII-Format verschlüsselt und das Ergebnis angezeigt:

$ gpg -a -e ~/Test.txt
gpg: übersprungen: öffentlicher Schlüssel bereits als Standardempfänger gesetzt
$ cat ~/Test.txt.asc 
-----BEGIN PGP MESSAGE-----
Version: GnuPG v2.0.18 (GNU/Linux)

hQEMAwAAAAAAAAAAAQgAmMm7urE2hiSJJYcJmr9p6QUYSv1zuY5jZH++foTibXZQ
cGEzMw/OmTu2kkfEjKnyez/4prn5Y+evNZibIHYvfcr4aRucBZNHzeZ0YQO+N4Oz
e+LMRwlqri57jgaaOpHUja25NvCSw5B0hXeycONCJHGV6apRTir157ZfztvBZGyn
//ABjlr8EPv9jE5kq1+/CCevAlPzqB+BKhOXWmRHTjI23A9FqjKFJbb3QG12nhCu
WI2u49mliYLo97/hPoQcwo5sal15LLuhA07sLpEcSNRq48l1yS/CjByaGsmhT6cz
i1tehMlQI6sR/93dfdrerl99k/CB49J1iFK+7AbyTIUBDAMAAAAAAAAAAAEH/icW
aPypHWBweXsgxI0X2+LmRqrwdAEjDzme29OlU7fn2sx/ElugLxnczStXStu/d58k
+LnbvhyqR0B9mKDZ1rLYaShDp714WmQRafy/wqlA2xc8A1BNLY4WuvNf0R5mPoto
cpmojtNLTBYUU6wbvJkvekabySPYaRGcQhevL5uRolQj5HbXAIc1Nb5XvKw4gDdL
r55gMCQTqkK2VpNAP9D66yFa91BS/jhhk/Khkju0Bu35BCOh+GmwTW6yhOh8guNb
Ud0WV0Io3unH4ImoHvvj5001oWK4mTu1n88TOczc4Y4K7VdQUYCtt9oHwdEA+/RT
ERBw4SzB4GRWO0BnyZDSUgHSMAOp9wjDOQ8t2RlT/OYzR2R8ak65f5hbwcIMdfak
/3l5KdD9tRIpW4/Njs/nd5gTuiUbWfvVDmoVRZ9febJ53sW70Ti++8z6FsgViYQe
Q6o=
=h4iH
-----END PGP MESSAGE-----

Anschließend wird mit eingelegter Karte wieder entschlüsselt, dabei wird der unverschlüsselte Text wieder ausgegeben:

$ gpg -d ~/Test.txt.asc 
gpg: Ungenannter Empfänger; Versuch mit geheimen Schlüssel E260C6D6 ...
gpg: Ungenannter Empfänger; Versuch mit geheimen Schlüssel E389B107 ...
gpg: Alles klar, wir sind der ungenannte Empfänger.
gpg: verschlüsselt mit RSA Schlüssel, ID 00000000
gpg: verschlüsselt mit RSA Schlüssel, ID 00000000
Das ist ein Test

Zuletzt wird die Karte entfernt, dann sollte kein Entschlüsseln mehr möglich sein:

$ gpg -d ~/Test.txt.asc 
gpg: Ungenannter Empfänger; Versuch mit geheimen Schlüssel E260C6D6 ...
gpg: selecting openpgp failed: Karte nicht vorhanden
gpg: Ungenannter Empfänger; Versuch mit geheimen Schlüssel E389B107 ...
gpg: selecting openpgp failed: Karte nicht vorhanden
gpg: Ungenannter Empfänger; Versuch mit geheimen Schlüssel E260C6D6 ...
gpg: selecting openpgp failed: Karte nicht vorhanden
gpg: Ungenannter Empfänger; Versuch mit geheimen Schlüssel E389B107 ...
gpg: selecting openpgp failed: Karte nicht vorhanden
gpg: verschlüsselt mit RSA Schlüssel, ID 00000000
gpg: verschlüsselt mit RSA Schlüssel, ID 00000000
gpg: Entschlüsselung fehlgeschlagen: Kein geheimer Schlüssel

Artikelaktionen

Drucken