はじめに

このガイドでは、YubiKeyを使用してGPG（GNU Privacy Guard）キーを設定する方法を詳しく説明します。GPGは、データの暗号化と署名に広く使用されているオープンソースのツールです。YubiKeyと組み合わせることで、セキュリティをさらに強化し、物理的な二要素認証を実現します。また、GPGエージェントを使用してSSHログインした先でのGit操作にも対応します。

前提条件

開始する前に、以下の点を確認してください：

YubiKeyのファームウェアバージョンを確認する。
- 古いYubiKeyはed25519暗号化をサポートしていない可能性があります。YubiKeyはファームウェアの更新には対応していないため、ファームウェアが古い場合にはあたらしいYubiKeyを購入してください。
- 完全な互換性のリストはfirmware compatibility matrixを確認してください。
GPGがインストールされていることを確認する。
コマンドラインの基本的な操作に慣れていること。

セットアップ

このセクションでは、GPG鍵の生成と基本的な設定を行います。

まず、環境変数を設定します。これにより、後続のコマンドが正しいディレクトリとアイデンティティを使用することを保証します。

export GNUPGHOME=~/.gnupg
export IDENTITY="your name <your-name@example.com>"

注意: GNUPGHOMEは通常~/.gnupgを使用します。特別な理由がある場合のみ、別のディレクトリを指定してください。

次に、強力なパスフレーズを生成します。このステップは非常に重要です。生成されたパスフレーズは、マスターキーを保護するために使用されます。

export CERTIFY_PASS=$(LC_ALL=C tr -dc 'A-Z1-9' < /dev/urandom | \
tr -d "1IOS5U" | fold -w 30 | sed 's/./&-/5;s/./&-/11;s/./&-/17;s/./&-/23' | \
cut -c2- | head -1) ; echo -e "\n$CERTIFY_PASS\n"

重要: 生成されたパスフレーズは安全な場所に保存してください。このパスフレーズを失うと、鍵にアクセスできなくなります。

キーの種類と有効期限を設定します。RSA 4096ビットは現在のセキュリティ標準に適しています。

export KEY_TYPE=rsa4096
export EXPIRATION=2y

マスターキーを生成します。このキーは証明用（cert）に使用され、有効期限は設定しません。

gpg --batch --passphrase "$CERTIFY_PASS" \
    --quick-generate-key "$IDENTITY" "$KEY_TYPE" cert never

生成されたキーのIDとフィンガープリントを取得します。これらは後続の操作で使用されます。

export KEYID=$(gpg -k --with-colons "$IDENTITY" | awk -F: '/^pub:/ { print $5; exit }')
export KEYFP=$(gpg -k --with-colons "$IDENTITY" | awk -F: '/^fpr:/ { print $10; exit }')

署名、暗号化、認証用のサブキーを生成します。これらのサブキーは日常的な操作に使用され、YubiKeyに保存されます。

for SUBKEY in sign encrypt auth ; do \
  gpg --batch --pinentry-mode=loopback --passphrase "$CERTIFY_PASS" \
      --quick-add-key "$KEYFP" "$KEY_TYPE" "$SUBKEY" "$EXPIRATION"
done

バックアップ

キーのバックアップは非常に重要です。マスターキー、サブキー、公開鍵のバックアップを作成します。これらは安全な場所に保管してください。

gpg --output $GNUPGHOME/$KEYID-Certify.key \
    --batch --pinentry-mode=loopback --passphrase "$CERTIFY_PASS" \
    --armor --export-secret-keys $KEYID

gpg --output $GNUPGHOME/$KEYID-Subkeys.key \
    --batch --pinentry-mode=loopback --passphrase "$CERTIFY_PASS" \
    --armor --export-secret-subkeys $KEYID

gpg --output $GNUPGHOME/$KEYID-$(date +%F).asc \
    --armor --export $KEYID

重要: これらのバックアップファイルは暗号化されていないため、非常に安全な場所に保管してください。

公開鍵のエクスポート

公開鍵を他の人と共有するためにエクスポートします。この鍵は、あなたに暗号化されたメッセージを送信したり、あなたの署名を検証したりするために使用されます。

gpg --armor --export $KEYID > public/$KEYID-$(date +%F).asc
chmod 0444 public/*.asc

注意: sudoの使用は環境によっては不要です。ユーザーの権限に応じて適切に調整してください。

YubiKeyの設定

このセクションでは、YubiKeyの初期設定と鍵の転送を行います。

YubiKeyの現在の状態を確認します。

gpg --card-status

安全なPINを設定します。これらのPINは、YubiKeyでの操作を認証するために使用されます。

export ADMIN_PIN=$(LC_ALL=C tr -dc '0-9' < /dev/urandom | fold -w8 | head -1)
export USER_PIN=$(LC_ALL=C tr -dc '0-9' < /dev/urandom | fold -w6 | head -1)

gpg --command-fd=0 --pinentry-mode=loopback --change-pin <<EOF
3
12345678
$ADMIN_PIN
$ADMIN_PIN
q
EOF

重要: 生成されたADMIN_PINとUSER_PINは安全な場所に保存してください。これらのPINを忘れるとYubiKeyをリセットする必要があります。

YubiKeyを再接続し、PINのリトライ回数を設定します。これにより、ブルートフォース攻撃からの保護が強化されます。

ykman openpgp access set-retries 5 5 5 -f -a $ADMIN_PIN

YubiKeyの属性を設定します。これにより、YubiKeyに個人情報が関連付けられます。

gpg --command-fd=0 --pinentry-mode=loopback --edit-card <<EOF
admin
login
$IDENTITY
$ADMIN_PIN
quit
EOF

サブキーの転送

生成したサブキーをYubiKeyに転送します。これにより、YubiKeyが実際の暗号操作を行うことができるようになります。

gpg --edit-key $KEYID
key 1
keytocard
1
save

gpg --edit-key $KEYID
key 2
keytocard
2
save

gpg --edit-key $KEYID
key 3
keytocard
3
save

YubiKeyの使用

公開鍵をインポートし、信頼度を設定します。これにより、システムがあなたの鍵を信頼するようになります。

gpg --import public/*.asc
gpg --edit-key ${KEYID}
trust
5
y
save

GPGエージェントの転送設定

このセクションでは、リモートマシンでのGit commit署名など、リモート操作のためにGPGエージェントの転送を設定します。

ローカルマシンの設定

SSHの設定を行い、GPGエージェントのソケットを転送します。~/.ssh/configに以下を追加します：

Host ${HOST_NAME}
  User ${USERNAME}
  Port 2222
  StreamLocalBindUnlink yes
  RemoteForward /run/user/0/gnupg/S.gpg-agent /Users/${LOCAL_USER_HOME}/.gnupg/S.gpg-agent

リモートマシンの設定

GPGエージェントの設定ファイルをダウンロードします。

cd ~/.gnupg
wget https://raw.githubusercontent.com/drduh/config/master/gpg-agent.conf

公開鍵をリモートマシンに転送します。

scp ~/.gnupg/pubring.kbx remote:~/.gnupg/

~/.gnupg/gpg-agent.confファイルを適切に設定し、PINエントリーやSSHサポートなどの動作を制御します。以下は例です：

pinentry-program /usr/bin/pinentry-curses
enable-ssh-support
ttyname $GPG_TTY
default-cache-ttl 60
max-cache-ttl 120

注意: pinentry-programのパスは使用するOSによって異なります。上記はLinux用の例です。macOSの場合は/opt/homebrew/bin/pinentry-mac、Windowsの場合は適切なパスに変更してください。

リモートマシンでのGit設定

リモートマシンでGPG署名付きのコミットを行うためには、.gitconfigファイルを適切に設定する必要があります。

GPGキーIDの確認

以下のコマンドを使用して、あなたのGPGキーIDを確認します：

gpg --list-secret-keys --keyid-format LONG

このコマンドの出力から、"sec" で始まる行を探し、スラッシュの後ろの16文字の文字列がキーIDです。例えば：

sec   rsa4096/0x58D8576394B9513F 2024-07-07 [C]

この例では、0x58D8576394B9513F がキーIDです。

.gitconfigの設定

確認したキーIDを使用して、以下の設定をリモートマシンの~/.gitconfigファイルに追加してください。

[user]
        email = you@example.com
        name = you
        signingkey = 0x58D8576394B9513F  # ここに確認したキーIDを入力
[safe]
        directory = /home/your/project
[commit]
        gpgsign = true

この設定により、リモートマシンでGPG署名付きのGitコミットが可能になります。

設定後、以下のコマンドでGPG署名が正しく機能しているか確認できます：

git commit -S -m "Test signed commit"
git log --show-signature

署名付きコミットが正常に作成され、署名が検証できることを確認してください。

デバッグ

問題が発生した場合のデバッグ方法です。

GPGエージェントを再起動します：

gpgconf --kill gpg-agent
gpg-agent --daemon

エージェントソケットのパスを確認します：

gpgconf --list-dirs agent-socket

詳細なデバッグ情報を得るために、GPGエージェントをデバッグモードで起動します：

pkill gpg-agent; gpg-agent --daemon --no-detach -v -v --debug-level advanced --homedir ~/.gnupg

定期的なメンテナンス

セキュリティを維持するために、以下の定期的なメンテナンスを行うことをお勧めします：

バックアップの更新：少なくとも年に1回はバックアップを更新してください。
鍵の有効期限の確認：有効期限が近づいている場合は、更新を検討してください。
PINの定期的な変更：少なくとも年に1回はYubiKeyのPINを変更してください。
ファームウェアの更新：YubiKeyのファームウェアに更新がある場合は、適用を検討してください。

以上で、YubiKeyを使用したGPGキーの設定が完了します。この設定により、高度なセキュリティを実現し、暗号化、署名、認証の機能を安全に利用できるようになります。

chaetsheet

公開鍵の表示

gpg --export -a you@example.com