Chiffrement du fichier uniquement avec SSH -priv-key?

Supposons que je veuille crypter un fichier afin que moi seul puisse le lire, en connaissant mon mot de passe de clé privée SSH. Je partage un dépôt où je veux crypter ou masquer des informations sensibles. J'entends par là que le dépôt contiendra les informations mais je ne l'ouvrirai que dans des cas particuliers.

1. Supposons que j'utilise SSH-agent, existe-t-il un moyen simple de crypter le fichier pour que je puisse l'ouvrir plus tard?

2. Je ne vois pas pourquoi je devrais utiliser GPG pour cela, question ici ; en gros, je connais le mot de passe et je veux seulement déchiffrer le fichier avec le même mot de passe que ma clé SSH. Est-ce possible?

Je pense que votre exigence est valide, mais d'un autre côté, elle est également difficile, car vous mélangez le chiffrement symétrique et asymétrique. Corrigez-moi si j'ai tort, s'il-vous plait.

Raisonnement:

1. La phrase secrète de votre clé privée est de protéger votre clé privée et rien d'autre.
2. Cela conduit à la situation suivante: Vous souhaitez utiliser votre clé privée pour crypter quelque chose que vous seul pouvez décrypter. Votre clé privée n'est pas destinée à cela, votre clé publique est là pour le faire. Tout ce que vous cryptez avec votre clé privée peut être décrypté par votre clé publique (signature), ce n'est certainement pas ce que vous voulez. (Tout ce qui est chiffré par votre clé publique ne peut être déchiffré que par votre clé privée.)
3. Vous devez donc utiliser votre clé publique pour crypter vos données, mais pour cela, vous n'avez pas besoin de votre phrase secrète de clé privée pour cela. Seulement si vous voulez le décrypter, vous aurez besoin de votre clé privée et de la phrase secrète.

Conclusion: Fondamentalement, vous souhaitez réutiliser votre phrase secrète pour le chiffrement symétrique. Le seul programme que vous voudriez donner à votre phrase secrète est ssh-agent et ce programme ne fait pas de chiffrement / déchiffrement uniquement avec la phrase secrète. La phrase secrète n'est là que pour déverrouiller votre clé privée et ensuite oubliée.

Recommandation: utilisez openssl encou gpg -e --symmetricavec des fichiers de clés protégés par mot de passe pour le chiffrement. Si vous devez partager les informations, vous pouvez utiliser l'infrastructure de clé publique des deux programmes pour créer une PKI / Web of Trust.

Avec openssl, quelque chose comme ceci:

$ openssl enc -aes-256-ctr -in my.pdf -out mydata.enc 

et quelque chose comme le décryptage

$ openssl enc -aes-256-ctr -d -in mydata.enc -out mydecrypted.pdf

Mise à jour: Il est important de noter que les commandes openssl ci-dessus n'empêchent pas les données d'être altérées. Un simple retournement de bit dans le fichier enc entraînera également des données déchiffrées corrompues. Les commandes ci-dessus ne peuvent pas le détecter, vous devez le vérifier par exemple avec une bonne somme de contrôle comme SHA-256. Il existe des moyens cryptographiques pour le faire de manière intégrée, c'est ce qu'on appelle un HMAC (Hash-based Message Authentication Code).

Je préférerais utiliser l' opensslutilitaire car il semble être assez omniprésent.

Convertissez la clé publique et la clé privée RSA au format PEM:

$ openssl rsa -in ~/.ssh/id_rsa -outform pem > id_rsa.pem
$ openssl rsa -in ~/.ssh/id_rsa -pubout -outform pem > id_rsa.pub.pem

Chiffrement d'un fichier avec votre clé publique:

$ openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem -in file.txt -out file.enc

Déchiffrer le fichier avec votre clé privée:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc -out file.txt

Mais, comme Gilles l'a commenté ci-dessus, cela ne convient que pour crypter des fichiers plus petits que votre clé publique, vous pouvez donc faire quelque chose comme ceci:

Générez un mot de passe, cryptez le fichier avec lui de manière symétrique et cryptez le mot de passe avec votre public, en l'enregistrant dans le fichier:

$ openssl rand 64 | 
tee >(openssl enc -aes-256-cbc -pass stdin -in file.txt -out file.enc) |
openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem  -out file.enc.key

Déchiffrez la phrase secrète avec votre clé privée et utilisez-la pour déchiffrer le fichier:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc.key | 
openssl enc -aes-256-cbc -pass stdin -d -in file.enc -out file.txt

Vous vous retrouverez avec deux fichiers, votre fichier crypté et votre phrase secrète cryptée, mais mis dans un script, cela fonctionnerait bien.

Vous pouvez même ajouter un tar cvf file file.enc file.enc.keypour ranger.

De manière optimale, vous maximiseriez la taille de votre phrase secrète tout en changeant rand 64la taille de votre clé publique.

Regardez luks / dm-crypt . Vous pouvez utiliser votre clé privée ssh comme clé de chiffrement en utilisant l'option appropriée.

Mise à jour: exemple de chiffrement à l'aide de LUKS avec un périphérique LV-block (test LV dans le système VG):

KEY=/home/youraccount/.ssh/id_dsa
DEVICE=/dev/system/test
cryptsetup luksFormat $DEVICE $KEY
cryptsetup luksOpen $DEVICE test_crypt --key-file $KEY

Cela devrait générer un bloc-périphérique / dev / mapper / test_crypt sur lequel vous pouvez utiliser pour stocker vos données (après les avoir formatées avec un système de fichiers de votre choix).

Pour vous en débarrasser, démontez-le et utilisez cryptsetup luksClose test_crypt.