Fedora 中使用 Gnu PG 代理-51CTO.COM

有时使用某个应用程序的时候，你需要非常频繁地使用你的 Gnu PG 密钥，这就意味着你需要多次输入密匙解密口令。相当多的应用程序支持将口令（密码）缓存起来方便用户使用。但是出于安全的目的，却不能让缓存的口令（密码）在多个程序之间交叉使用。不过，Gnu PG 提供了很安全的密码缓存方式，也即 Gnu PG 的代理 gpg-agent。通过它，多个应用程序可以共用 Gnu PG 密匙的解密口令。如果你在使用某个应用程序的时候输入了密匙解密口令，其他应用程序可以在一段时间内不用再请求输入口令也能解密 Gnu PG 密钥。下面就来谈谈如何设置 Gnu PG 的代理。

尽管我们不谈论 Gnu PG 公匙、密匙的生成与使用过程，但是使用 Gnu PG，***步当然是安装它：

$ sudo yum install gnupg

通常，Gnu PG 程序本身就有代理功能。不过在图形界面下，Gnu PG 的代理功能需要用 pinentry 来开启，所以需要先在 Linux 中安装 pinentry 程序。

$ sudo yum install pinentry-gtk

现在创建 gpg-agent 的配置文件：

$ cat > ~/.gnupg/gpg-agent.conf << EOF 
# PIN entry Program
#pinentry-program /usr/bin/pinentry-curses
#pinentry-program /usr/bin/pinentry-qt4
#pinentry-program /usr/bin/pinentry-kwallet
pinentry-program /usr/bin/pinentry-gtk-2
# Keyboard control
no-grab
# Cache timeout: 3 hours
default-cache-ttl 10800
#default-cache-ttl-ssh 10800
EOF

这个配置指明了 pinentry 程序、口令缓存的超时时间等等。接着激活 Gnu PG 的代理能力，这只要使用下面这一行即可

$ echo "gpg-agent" >> ~/.gnupg/gpg.conf

这一行告诉 Gnu PG 在需要密码时使用 gpg-agent，但前提是需要 gpg-agent 事先已经工作。运行 gpg-agent 的方法很简单：

$ eval $(gpg-agent --daemon)

停止 gpg-agent 的方法是：

$ pkill -u "$USER" gpg-agent

为了让 gpg-agent 的使用更加方便，我们自然希望它能够随机器启动而自动工作，这可通过在 /etc/profile.d/ 中作如下的配置来实现

$ sudo cat > /etc/profile.d/gpg-agent.sh << EOF
#!/bin/sh
envfile="${HOME}/.gnupg/gpg-agent.env"
if test -f "$envfile" && kill -0 $(grep GPG_AGENT_INFO “$envfile" |cut -d: -f 2) 2>/dev/null; then
     eval "$(cat :$envfile")"
else
     eval "$(gpg-agent --daemon --write-env-file "$envfile")"
fi
export GPG_AGENT_INFO # the env file does not contain the export statement
EOF
$ sudo chmod 755 /etc/profile.d/gpg-agent.sh

以上的设置使得每位登录 Linux 的用户自动启用 gpg-agent。一般而言，一个会话只允许开启一个 gpg-agent 进程。关于这一点，我们可以从上面的配置中可以看到。如果我们只希望为某个用户启用 gpg-agent，可在 ~/.xprofile、~/.xsession 或者 ~/.xinitrc 中添加下面这一行，这取决于我们使用的图形界面的启动方式，例如：

$ echo 'eval "$(gpg-agent --daemon)"' >> ~/.xprofile

如果用户不使用图形界面的话，也可以将上面这一行写入 ~/.bash_profile。通过前面这些设置便能自动启动 gpg-agent 了。关于 gpg-agent 的更多设置，请自行参看 gpg-agent 的手册页

$ man gpg-agent

实际上，从手册页中可以看到，gpg-agent 还可以作为 ssh-agent，这只需要在命令行 gpg-agent 中增加 --enable-ssh-support 选项即可。下面给出一个自动作为 ssh-agent 与 gpg-agent 的配置：

$ cat >> ~/.bash_profile << EOF
#!/bin/sh
# Start the GnuPG agent and enable OpenSSH agent emulation
gnupginf="${HOME}/.gpg-agent-info"
if pgrep -u "${USER}" gpg-agent >/dev/null 2>&1; then
    eval `cat $gnupginf`
    eval `cut -d= -f1 $gnupginf | xargs echo export`
else
    eval `gpg-agent -s --enable-ssh-support --daemon`
fi
EOF

值得指出的是，Gnome 桌面自身提供的 Gnome-keyring 也整合了 gpg-agent 功能，这取决于 Gnome-keyring 包编译过程有没有开启 gpg-agent 选项。如果我们想禁用 Gnome-keyring 的 gpg-agent 功能，除去修改源码的编译选项之外，还可作如下操作来实现

$ cp /etc/xdg/autostart/gnome-keyring-gpg.desktop ~/.config/autostart/gnome-keyring-gpg.desktop
$ echo "X-GNOME-Autostart-enabled=false" >> ~/.config/autostart/gnome-keyring-gpg.desktop

如果只是想临时禁用 Gnome-keyring，可执行

$ sudo kill $GNOME_KEYRING_PID