新しい GPG 鍵ペアを生成する手順

作成日 2018.03.31
更新日 2018.08.06

GPG
Linux

ただ流出した秘密鍵が副鍵ではなく主鍵でしかもパスフレーズも総当たり攻撃などで知られてしまった場合, その攻撃者は秘密鍵の主鍵を完全にコントロール下においている状況なので, いくら有効期限を設定したとしても後からいくらでも書き換えられてしまうので意味を成しません.

なので本質的には秘密鍵と後述する失効証明書という秘密鍵を永久的に使えなくするその 2 つを流出しないように最大限, 気をつける以外に生成した鍵の所有権を守る方法はありません.

なので有効期限を設定したからといってそれが絶対の保証になるということにはなりませんので, そのことは留意しておく必要があります.

さて, 有効期限を決める手順に戻りますが, どのくらいの期間を設定するかは個人の裁量に委ねられています.

ただあまり短過ぎるとより頻繁に更新しなくてはいけなくなりますのである程度の期間を開けた方がいいと思われます.

かといって長過ぎると有効期限を設定した意味が薄れてしまいます.

なので 2 年ぐらいがちょうどいいのではないかと思いますので 2y とします.

ちなみに 1 日は 1, 1 週間は 1w, 1 ヶ月は 1m, 1 年は 1y となります.

Please specify how long the key should be valid.
         0 = key does not expire
      <n>  = key expires in n days
      <n>w = key expires in n weeks
      <n>m = key expires in n months
      <n>y = key expires in n years
Key is valid for? (0) 2y
Key expires at Sat Apr 11 04:02:39 2020 JST

この設定で正しい? と聞かれるので Yes の y を入力します.

Is this correct? (y/N) y

次にユーザー ID を決める手順に入ります.

ユーザー ID は名前, メールアドレス, コメントの 3 つから構成されます.

ユーザー ID は複数持つことができて後から付け加えることができますが, 一度作ったユーザー ID は削除したり失効することはできても変更することはできないので慎重に決める必要があります.

1. 鍵所有者の名前を入力します.

Real name (本名) とありますように, 鍵はいわば個人の身分証明書のようなものです.

また鍵は他の人を署名したり, 他の人から署名されたりします.

なので信用性という観点からニックネームではなく本名を入力すべきなのでしょう.

今回はあくまで例ですので Taro Yamada を使用します.

Real name: Taro Yamada

2. メールアドレスを入力します.

Email address: taroyamada@example.com

3. コメントを入力します.

空欄も可能です.

と言うよりほとんどの場合において空欄のままにした方が簡潔でいいようです.

Comment:

Okay の o を入力して確認を完了します.

You selected this USER-ID:
    "Taro Yamada <taroyamada@example.com>"

Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? o

パスフレーズを求められるので入力します.

パスフレーズは秘密鍵が万が一流出した場合に第三者の不正使用から守ってくれる唯一のセキュリティなので大文字小文字のアルファベットに加えて数字や記号が組み合わさったある程度の長さのものが望ましいです.

これで公開鍵と秘密鍵のペアを作ることができました.

pub   rsa4096 2018-04-11 [SC] [expires: 2020-04-10]
      605B8B327568D3A67970670D3CD33B7DE5441403
uid                      Taro Yamada <taroyamada@example.com>
sub   rsa4096 2018-04-11 [E] [expires: 2020-04-10]

表示される公開鍵の情報は次のような意味です.

pub – 公開鍵の主鍵を意味しています.
uid – ユーザー ID です.
sub – 公開鍵の副鍵を意味しています.
rsa4096 – RSA 暗号アルゴリズムの 4096 ビット長を意味しています.
フラグ
- S – Sign の S を意味しファイルに対する署名ができます.
- C – Certify の C を意味し鍵に対する署名ができます.
- E – Encrypt の E を意味しファイルを暗号化できます.
2018-04-11 – 鍵の生成日です.
expires: 2020-04-10 – 鍵の有効期限が2020年4月10日までという意味です.
605B8B327568D3A67970670D3CD33B7DE5441403 – 40 桁の 16 進数からなる指紋と呼ばれるものです.