---
categories: security
title: Howto GnuPG
...

* Documentation : <https://gnupg.org/documentation/index.html>

[GnuPG](https://gnupg.org/) est une implémentation complète et libre du standard OpenPGP défini par la [RFC4880](https://www.ietf.org/rfc/rfc4880.txt).  
GnuPG permet le chiffrement et la signature de vos données ainsi que de vos communication.

## Installation

GnuPG 1 et 2 sont disponibles dans Debian, il faut utiliser la version 2 :

~~~
# apt install gnupg2
~~~

> *Note* :  c'est la version par défaut à partir de Debian 9 (Stretch)


## Générer une clé GPG

* Guide de A à Z écrit par Daniel Kahn Gillmor, mainteneur GPG dans Debian : <https://riseup.net/en/security/message-security/openpgp/best-practices>  
* Guide de création de clé GPG par Debian : <https://keyring.debian.org/creating-key.html>  

Si vous ne souhaitez pas lire ces guides d'un bout à l'autre, il est possible de [télécharger ce fichier](https://raw.githubusercontent.com/ioerror/duraconf/master/configs/gnupg/gpg.conf) et le mettre dans `~/.gnupg/gpg.conf`. Il regroupe l'ensemble des pratiques recommandées par le guide.

Une fois que vous vous êtes assuré d'avoir une configuration adéquate, il vous faut générer votre clef.  
La génération d'une clé peut être très longue si vous avez un faible réservoir d'entropie, vous pouvez générer de l'entropie en bougeant la souris et en tapant sur le clavier, ou en installant le logiciel `haveged`.  
Une autre astuce est de disposer d'une clé matériel RNG.

On génère par la suite notre clef, on conseille la plus longue possible (4096) :

~~~
$ gpg2 --gen-key
$ gpg2 --full-generate-key # Pour pouvoir choisir, notamment, la taille de la clé.
~~~

Une fois que vous avez créé votre clef, vous pouvez afficher son fingerprint :

~~~
$ gpg2 --list-secret-keys

> Key fingerprint = 677F 54F1 FA86 81AD 8EC0  BCE6 7AEA C4EC 6AAA 0A97
~~~

## Importer une signature

~~~
$ gpg --import fichier.asc
~~~

## Lister les signatures d'une clé

~~~
$ gpg --list-signatures <IDClé>
~~~

## Configuration

### Agent GPG

L'agent GPG garde en mémoire la passphrase de vos clés mais fait aussi office d'agent SSH, ce qui vous permet d'utiliser GPG pour vos connecter sur vos serveurs !

~~~
# apt install gnupg-agent pinentry-qt
~~~

`.gnupg/gpg-agent.conf` :

~~~
enable-ssh-support
pinentry-program /usr/bin/pinentry-qt
log-file $HOME/.gnupg/gpg-agent.log
~~~

Fichier `.bashrc` (ou `.zshrc`) :

~~~
pgrep -u $USER gpg-agent > /dev/null || gpg-agent --daemon
export GPG_TTY=$(tty)
export SSH_AUTH_SOCK="/run/user/$UID/gnupg/S.gpg-agent.ssh"
gpg-connect-agent updatestartuptty /bye
~~~

### Smartcard

GPG et l'agent GPG peuvent être utilisés via des cartes a puces (smartcard) ce qui permet de sécuriser vos clés GPG sur des cartes ou des tokens USB dont elles ne peuvent être extraites, l'utilisation de Smartcard nécessite les paquets suivants : 

~~~
# apt install opensc pcscd scdaemon
~~~

La carte à puce (ou le token USB) est ensuite accessible via la commande suivante :

~~~
$ gpg2 --card-edit
~~~

#### Quel choix de smartcard ?

Evolix recommande la [Nitrokey Start](https://shop.nitrokey.com/shop/product/nitrokey-start-6) qui est un token USB Open Source et Open Hardware !