13 Seahorse:データの署名および暗号化
GNOMEパスワードおよび暗号化キープログラムは、システムの暗号化インフラストラクチャの重要なコンポーネントです。このプログラムにより、PGPキーおよびSSHキーの作成と管理、PGPキーおよびSSHキーのインポートおよびエクスポート、他のユーザとのキーの共有、キーおよびキーリングのバックアップ、パスフレーズのキャッシュ、クリップボードの暗号化と復号化を行うことができます。 › › の順に選択して、プログラムを起動します。
図 13.1 Password and Keys (パスワードと秘密鍵)のメインウィンドウ #
13.1 署名および暗号化 #
署名とは、電子署名を電子メールメッセージまたはソフトウェアに添付して、その発行元が正しいことを証明するものです。他のユーザにより名前が使用され、メッセージが書き込まれることがないように、そして自身と送信先ユーザの双方を保護するために、メールに署名するべきです。署名によって、受信したメッセージの送信者を簡単に確認し、正当なメッセージと悪意のあるメッセージを見分けられます。
ソフトウェア開発者は、完全性をチェックできるように、ソフトウェアに署名します。非公式のサーバからのソフトウェアを所有している場合でも、パッケージを署名で検証できます。
他者から保護する必要がある機密情報を所有していることもあります。暗号化によって、データを変換して他者が読めないようにすることができます。このことは企業にとって、社内情報と社員のプライバシーを保護するために重要です。
13.2 新しい鍵ペアの生成 #
暗号化されたメッセージを他のユーザと交換するには、まず独自の鍵ペアを生成する必要があります。その1つである「公開鍵」(公開キー)は、通信相手に対して配布するものであり、通信相手はファイルや電子メールメッセージを送信する前に、公開鍵を使用してそれらを暗号化します。鍵ペアのもう一方は、「秘密鍵」(秘密キー)です。これは、暗号化済みの内容を復号化する目的で使用されます。
重要: 公開鍵と秘密鍵
公開鍵は、公開されること、およびすべての通信相手に対して配布されることを意図しています。一方、秘密鍵にアクセスするのはそれを所有しているユーザだけです。秘密鍵のデータにアクセスすることを他のユーザに許可しないでください。
13.2.1 OpenPGP鍵の作成 #
OpenPGPは、PGPに基づく公開鍵暗号化方式を使用することで電子メールを暗号化するための非専有プロトコルです。これは、公開鍵を交換するための暗号化されたメッセージ、署名、秘密鍵、および証明書の標準形式を指定します。
› › の順にクリックします。
› の順にクリックします。
を選択し、をクリックします。
氏名および電子メールアドレスを指定します。
をクリックし、次の詳細鍵オプションを指定します。
- コメント
オプションのコメントです。
- 暗号化タイプ
キーを生成するための暗号化アルゴリズムを指定します。は、必要に応じて、暗号化、復号化、署名、確認を行うことができるので、推奨される選択肢です。およびではともに、署名のみが可能です。
- 鍵の強度
鍵の長さ(ビット)を指定します。鍵が長くなると、より安全になります(強力なパスフレーズが使用されている場合)。ただし、長い鍵で実行する処理は短い鍵で実行する処理よりも長い時間がかかることに注意してください。許容される値は、1024～4096ビットです。少なくとも2048ビットを使用することをお勧めします。
- 有効期限日
暗号化処理または署名処理の実行のために鍵を使用できる最後の日付を指定します。この期間が経過した後、有効期限を変更するか、新しい鍵またはサブ鍵を生成する必要があります。信頼性のステータスを維持するために、鍵の期限が切れる前に古い鍵で新しい鍵を署名します。
をクリックして新しい鍵のペアを作成します。
ダイアログが開きます。
新しい鍵のパスフレーズを2回指定し、をクリックします。
パスフレーズを指定するときは、強力なパスワードを作成する場合と同じ慣例に従ってください。パスワードとパスフレーズの主な相違は、パスフレーズではスペースが有効な文字であることです。
13.2.2 セキュアシェル鍵の作成 #
セキュアシェル(SSH)は、該当マシン上でコマンドを実行するためにリモートコンピュータにログインする手段です。SSH鍵は、デフォルトのパスワード認証システムに代わる鍵ベースの認証システムで使用されます。鍵ベースの認証では、認証するためのパスワードを手動で入力する必要はありません。
› › の順にクリックします。
› の順にクリックします。
を選択し、をクリックします。
使用する鍵の記述を指定します。
電子メールアドレスまたは他のリマインダを使用できます。
オプションで、をクリックし、次の高度なキーオプションを指定します。
暗号化タイプ. キーを生成するための暗号化アルゴリズムを指定します。SSH鍵を作成するためにRSA (Rivest-ShamirAdleman)アルゴリズムを使用するには、を選択します。これは、推奨されるより安全な選択肢です。を選択し、SSH鍵を作成するためにデジタル署名アルゴリズム(DSA)を使用します。
鍵の強度. 鍵の長さ(ビット)を指定します。鍵が長くなると、より安全になります(強力なパスフレーズが使用されている場合)。ただし、長い鍵で実行する処理は短い鍵で実行する処理よりも長い時間がかかることに注意してください。許容される値は、1024～4096ビットです。少なくとも2048ビットを使用することをお勧めします。
新しい鍵を作成するにはをクリックし、鍵を作成して認証で使用する別のコンピュータを設定するにはをクリックします。
新しい鍵のパスフレーズを指定してをクリックし、さらに繰り返します。
パスフレーズを指定するときは、強力なパスワードを作成する場合と同じ慣例に従ってください。パスワードとパスフレーズの主な相違は、パスフレーズではスペースが有効な文字であることです。
13.3 鍵のプロパティの変更 #
既存のOpenPGP鍵またはSSH鍵のプロパティを変更できます。
13.3.1 OpenPGP鍵のプロパティの編集 #
このセクションの記述は、すべてのOpenPGP鍵に当てはまります。
› › の順にクリックします。
表示または編集するPGP鍵をダブルクリックします。
鍵に写真を追加するか、または鍵に関連するパスフレーズを変更するには、タブでオプションを使用します。
写真IDにより、鍵の所有者が鍵に1つ以上の自身の画像を埋め込むことができます。これらのIDは、通常のユーザIDと同じように署名できます。写真IDは、JPEGフォーマットであることが必要です。推奨サイズは、120 x 150ピクセルです。
選択した画像が必要なファイルの種類またはサイズに一致しない場合、パスワードおよび暗号化キーではGDKライブラリでサポートされる画像フォーマットからその場でサイズの変更および変換を行うことができます。
タブをクリックし、鍵にユーザIDを追加します。
詳細については、13.3.1.1項 「ユーザIDの追加」を参照してください。
タブをクリックします。このタブには、次のプロパティが含まれます。
鍵ID: 鍵IDは指紋に類似していますが、鍵IDには指紋の最後の8文字のみが含まれます。一般に鍵IDのみで鍵を識別できますが、2つの鍵が同じ鍵IDを持つ場合もあります。
タイプ: 鍵を生成するための暗号化アルゴリズムを指定します。DSA鍵では、署名のみを行うことができます。ElGamal鍵は、暗号化のために使用されます。
強度: 鍵の長さ(ビット)を示します。鍵が長いほど、セキュリティはより強力になります。ただし、長い鍵を使用しても、脆弱なパスフレーズを使用している場合に、それが相殺されることはありません。
指紋: 鍵を正確に識別する固有の文字列です。
作成日: 鍵が作成された日付。
有効期限: 鍵が使用できなくなる日付(鍵の期限が切れると、鍵の処理を実行するために鍵を使用することができなくなります)。鍵の有効期限を将来のある時点に変更すると、鍵が再度有効になります。一般的な良い慣行は、期限が切れないマスタ鍵を用意し、マスタ鍵によって署名された期限が切れる複数のサブ鍵を使用することです。
所有者の信用度: ここで、鍵の所有者に対する信頼レベルを設定できます。信頼とは、Webの信頼性を適切に向上させるあるユーザの能力に対する自身の信頼度です。自身で署名していない鍵の場合、該当ユーザの鍵の有効性は、そのユーザが収集した署名と、それらの署名を行ったユーザに対する自身の信頼度に基づいて決定されます。
鍵のエキスポート: 鍵をファイルにエクスポートします。
サブ鍵: 詳細については、13.3.1.2項 「OpenPGPサブ鍵の プロパティの編集」を参照してください。
をクリックします。
13.3.1.1 ユーザIDの追加 #
ユーザIDにより、同じ鍵で複数のIDおよび電子メールアドレスを使用できます。たとえば、業務用に1つ、友人用に1つIDを使用する場合に、ユーザIDを追加すると役立ちます。ユーザIDの形式は次のとおりです。
Name (comment) <e-mail address>
› › の順にクリックします。
表示または編集するPGP鍵をダブルクリックします。
タブをクリックし、をクリックします。
フィールドで名前を指定します。
このフィールドには、少なくとも5文字を入力する必要があります。
フィールドに電子メールアドレスを1つ指定します。
この電子メールアドレスにより、大半のユーザが鍵サーバまたは他の鍵プロバイダ上で鍵を検索します。次に進む前に、電子メールアドレスが正しいことを確認します。
フィールドで、新しいIDの名前とともに表示する追加情報を指定します。
この情報は、鍵サーバ上で検索できます。
をクリックします。
13.3.1.2 OpenPGPサブ鍵の プロパティの編集 #
各OpenPGP鍵は、署名でのみ使用される単一のマスタ鍵を持ちます。サブ鍵はまた、暗号化および署名で使用されます。これにより、サブ鍵の安全性に問題が生じても、マスタ鍵を破棄する必要はなくなります。
› › の順にクリックします。
編集するPGP鍵をダブルクリックします。
タブをクリックし、をクリックします。
ダイアログの左側にあるボタンを使用して、サブ鍵の追加、削除、失効、破棄を行います。
各サブ鍵には、次の情報が含まれます。
ID: サブ鍵のID。
タイプ: サブ鍵を生成するための暗号化アルゴリズムを指定します。DSA鍵では署名のみを行うことができます。また、ElGamal鍵は暗号化、RSA鍵は署名および暗号化のために使用します。
作成日: 鍵が作成された日付を示します。
有効期限: 鍵が使用できなくなる日付を示します。
ステータス: 鍵のステータスを示します。
強度: 鍵の長さ(ビット)を示します。鍵が長いほど、セキュリティはより強力になります。ただし、長い鍵を使用しても、脆弱なパスフレーズを使用している場合に、それが相殺されることはありません。
をクリックします。
13.3.2 セキュアシェル鍵のプロパティの編集 #
このセクションの記述は、すべてのSSH鍵に当てはまります。
› › の順にクリックします。
表示または編集するSecure Shell鍵をダブルクリックします。
鍵に関連する鍵またはパスフレーズの名前を変更する場合は、タブのオプションを使用します。
タブをクリックします。このタブには、次のプロパティが含まれます。
アルゴリズム: 鍵を生成するための暗号化アルゴリズムを指定します。
強度: 鍵の長さ(ビット)を示します。鍵が長いほど、セキュリティはより強力になります。ただし、長い鍵を使用しても、脆弱なパスフレーズを使用している場合に、それが相殺されることはありません。
場所: 秘密鍵が保存されている場所です。
指紋: 鍵を正確に識別する固有の文字列です。
鍵のエキスポート: 鍵をファイルにエクスポートします。
をクリックします。
13.4 鍵のインポート #
鍵をインポートするには
› › の順にクリックします。
› の順にクリックします。
少なくとも1つのASCII外装の公開鍵を含むファイルを選択します。
鍵をインポートするには、をクリックします。
また、［パスワードと暗号鍵］で鍵を貼り付けることができます。
テキストのASCII外装パブリックのブロックを選択し、それをクリップボードにコピーします。
› › の順にクリックします。
› をクリックします
13.5 鍵のエクスポート #
鍵をエクスポートするには
› › の順にクリックします。
エクスポートする鍵を選択します。
› の順にクリックします。
エクスポートする鍵のファイル名と場所を指定します。
をクリックし、鍵をエクスポートします。
また、テキストのASCII外装ブロックで、クリップボードの鍵をエクスポートできます。
› › の順にクリックします。
エクスポートする鍵を選択します。
› の順にクリックします。
13.6 鍵の署名 #
別のユーザの鍵に署名すると、ユーザに対して信頼を与えることになります。鍵に署名する前に、鍵が実際にそのユーザに属していることを確認するために、鍵の指紋を慎重にチェックします。
信頼とは、Webの信頼性を適切に向上させるあるユーザの能力に対する自身の信頼度です。自身で署名していない鍵の場合、該当ユーザの鍵の有効性は、そのユーザが収集した署名と、それらの署名を行ったユーザに対する自身の信頼度に基づいて決定されます。デフォルトでは未知の鍵は、ぎりぎりの信頼値を持つ3つの署名、または1つの完全に信頼できる署名が必要です。
› › の順にクリックします。
タブまたはタブから、署名する鍵を選択します。
› の順にクリックします。
鍵をどの程度慎重にチェックするかを選択して、署名をキーリングに対してローカルにするかどうか、署名を破棄できるかどうかを指定します。
をクリックします。
13.7 パスワードキーリング #
キーリングの作成または削除、アプリケーションパスワードのデフォルトのキーリングの設定、またはキーリングのロック解除パスワードの変更を行うために、パスワードキーリングの初期設定を使用できます。新しいキーリングを作成するには、次の手順に従います。
› › の順にクリックします。
› › の順にクリックし、をクリックします。
キーリングの新しい名前を入力し、を押します。
キーリングの新しいを設定して確認し、をクリックします。
既存のキーリングのロック解除パスワードを変更するには、タブでキーリングをクリックし、を押します。このパスワードを変更するには、古いパスワードを入力する必要があります。
アプリケーションのパスワードのデフォルトキーリングを変更するには、タブでキーリングをクリックし、を押します。
13.8 鍵サーバ #
リモート鍵サーバに対して鍵を定期的に同期することにより、鍵を最新の状態に維持できます。同期により、すべての鍵で最新の署名を持ち、信頼のウェブを有効にすることができます。
› › の順にクリックします。
› の順にクリックし、タブをクリックします。
パスワードと暗号鍵では、HKP鍵サーバおよびLDAP鍵サーバがサポートされます。
HKPサーバ: HKP鍵サーバは、広く普及するhkp://pgp.mit.edu:11371や、http://pgp.mit.edu (http://pgp.mit.edu)などの通常のWebベースの鍵サーバです。
LDAP鍵サーバ: LDAP鍵サーバはそれほど一般的ではありませんが、鍵をホストするために標準のLDAPプロトコルを使用しています。ldap://keyserver.pgp.comは適切なLDAPサーバです。
左側のボタンにより、使用する鍵サーバをまたはできます。新しい鍵サーバを追加する場合は、必要に応じて種類、ホスト、ポートを設定します。
公開鍵を自動的に発行するかどうか、および使用する鍵サーバを設定します。鍵サーバから鍵を自動的に取得するかどうか、および変更した鍵を鍵サーバと同期するかどうかを設定します。
をクリックします。
13.9 鍵の共有 #
鍵の共有は、DNS-SD(BonjourまたはRendevousと呼ばれることもあります)により提供されます。鍵の共有を有効にすると、ローカルのパスワードと暗号鍵ユーザの公開鍵リングがリモートの検索ダイアログに追加されます。こうしたローカルの鍵サーバを使用する場合、一般にリモートサーバにアクセスするよりも高速です。
› › の順にクリックします。
› の順にクリックし、タブをクリックします。
を選択します。
をクリックします。