人们总有各种秘密不希望被他人知道或者乱改，或希望仅仅与指定的人分享秘密。如今，利用自由开源软件，我们可以确保被数字签名的数据被篡改后可以立即获知、确认数据真正是来自自己所认为的那个人，同时，可以确保被加密的数据，在传输的过程中可以放心不被窃密。


        本帖子将展示开源软件GnuPG在Windows环境下的发行版gpg4win的使用。以及采用特定的方法来使用的理由。


        第一楼，简单展示鼠标右键菜单栏解密并验证签名，还有简单的加密的流程。


        第二楼，简单说明现行GnuPG的稳定版中所支持的各种算法。


        第三楼，简单讲述Windows 7环境下安装gpg4win的过程。


        第四楼，简单举例使用Kleopatra、GNU Privacy Assistant（GPA）、以及命令行工具下生成RSA公私密钥对的过程。


        本贴仅进行技术探讨。




        GnuPG，或被简称为gpg，源自一个名叫Pretty Good Privacy（PGP）的软件。而后，PGP公司开发了名为OpenPGP的软件，PGP类软件现今均遵循OpenPGP标准（RFC 4880）。然而，由于各种商业原因，如今OpenPGP几经易手，却不再免费，也没有了后续的开发和改进。好在自由软件社区开发了自由开源软件版本，也就是今天的GnuPG，而GnuPG仍然遵循OpenPGP的标准。


        使用GnuPG，我们可以通过密码学技术实现对数据的加解密、对数据的完整性和发送来源的真实性进行准确的验证。


        首先是解密并且验证签名的流程，实际上非常的简单，利用邮件菜单栏，我们可以轻而易举的点几下鼠标就可以，如图：


这是一个经过签名并且加密的文件，使用记事本打开，我们可以看到内容完全是无法看懂的密文





收件人希望解密内容，只需要对着文件点下鼠标右键，选取图中红色箭头所示，解密并校验的选项呼叫出软件的解密界面





在解密界面中确认文件的路径，并点“继续”





由于涉及解密操作，收件人需要输入自己的私钥的解锁口令





至此，软件会显示解密以及验证数字签名的结果





        如上图，软件的解密以及验证数字签名的结果显示，被解密的原文确确实实发送自密钥ID为58C2C554（生成密钥时随机生成），电子邮箱地址为test01@kechuang.org这个人，数据并无被篡改或加密自他人。（注1：该电子邮箱地址为虚构，本贴借用作为示范。）（注2：验证密钥的ID以及邮箱地址的工作需要在使用之前预先通过其他手段确认，如两人面对面确认。）

        虽然图片尺寸较大令帖子篇幅看上去非常长，实际上在Windows环境下，使用鼠标右键菜单解密并且验证签名的过程也就几秒钟而已，当然，时间受数据尺寸影响。


        接下来是签名加密的过程，签名加密的过程稍微复杂些，由于涉及到选择收件人的公钥、选择自己用于签名的私钥。如图：


这里采用虚构的隐私内容用于演示加密，请不要在意内容的明文。[s::lol]




加密的流程同样简单，使用邮件菜单的“签名并加密”选项




在被呼叫出的加密界面中，选择“签名并加密”的选项，根据需要，可以将密文完全转换成可以显示的文字，则把“文字输出（ASCII）”的选项勾上，并点下一步




至此，选择收件人的公钥，图中的公私密钥列表仅有几个，假如随着使用，联系人的公钥列表越来越多，可以使用搜索功能查找收件人姓名对应的公钥。




添加收件人的公钥到接收人列表后，假如没有你自己在内，软件会出现这样的提示：你自己没在收件人列表里，加密的数据连你自己也无法解密，确认要继续？




在确认了收件人的公钥名单后，软件会询问你希望使用哪一个密钥来对数据进行签名，因为软件可以根据需要保存无数个私钥，使用者可以面对不同的人群使用不同的密钥。




由于涉及到签名的操作，在这里软件会要求你输入自己的私钥的解锁口令来确认确实是你本人。




操作完成后，软件会给出成功的提示




如今，在相同的路径下，会出现一个新的文件，由于刚才选择了使用文字输出的模式，因此后缀名会是asc




使用文本编辑器打开asc文件，可以看出，数据已经被加密成了人眼看不懂的内容




        现在，只要使用任何手段将密文发送给收件人，无论发送的路径是否安全，只要收件人能收到，都不会有在传输过程中泄密、被篡改而不被察觉的威胁。


        实际上，使用鼠标右键菜单调出的，只是gpg4win这个软件所包含的一个叫Kleopatra的图形界面。而gpg4win这个软件包，还包含了其他的类似功能的图形界面，比如GNU Privacy Assistant（简称GPA）。使用GPA对数据进行加解密的操作实际上非常类似，就是过程繁琐些，如图：


GPA的界面分为几个部分，这里是密钥管理器的界面，上方快捷按钮区可以调出文件管理器界面：




在文件管理器中，打开所需要处理的文件，无论是加密、解密、签名、验证签名，都从把需要处理的文件导入到文件管理器界面开始：




找到所需要加密的文件：




将需要加密的文件导入文件管理器后，点击上方快捷按钮区的加密按钮（签名加密也是）




在这里，和Kleopatra使用的流程类似，选择收件人的公钥，由于需要签名加密为纯文本密文，因此将“签名”和“Armor”勾上（别问我为啥叫Armor，我也不知道）




选择需要使用的签名私钥（这样收件人可以验证是这个私钥签发的数据）




点击下一步，至此数据已经处理完毕。实际上，这里演示的加密的密文就是本贴最开始所演示的解密的密文的来源。





        历史上，GnuPG本身是一个命令行界面的程序，gpg4win并没有彻底把他改头换面抛弃命令行界面，而许许多多的高级操作，往往通过命令行界面完成。这里仅仅展示加密的过程，非常简单，切换要所需加密的明文的文件的路径后敲命令就行。由于上面连续两次演示了对文件进行加密，在此演示一下对文字进行签名加密的过程，无论是图形界面环境还是命令行界面环境，GPG不仅支持对文件进行加密，还支持对文字的直接加密。这里需要对Windows系统的一些偏僻的东西的了解。不过请放心，在下会适当讲解。


这里在下首先打开命令行界面，使用Windows系统的“运行”功能打开自带的cmd.exe程序：




上图中点击确定后，就可以来到命令行的界面，命令行界面中，GnuPG的名称是gpg2，意为GnuPG的2.0版，





和上面的过程一样，指定收件人和自己用于签名的密钥，但在命令行界面中，所有的密钥均采用他们的具有唯一性的标识所表示——密钥的ID。在输入需要加密的文字前，先使用一行命令说清楚一切，其中-r参数后跟的是收件人的密钥的ID，-u参数后跟的是自己用于签名用的密钥的ID，后面的-vase中，v表示详细的信息；a表示使用文字输出模式，在命令行界面中假如不使用文字输出模式选项，会得到一大串无法轻易复制粘贴的乱码，实际上是十六进制数；s表示签名；e表示加密：





和命令行界面一样，由于涉及签名的操作，因此，程序会询问签名用的私钥的解锁口令。输入口令后，程序会等待您输入需要签名加密的密文（实际上光标会闪动，无奈在下几次截图都截不到光标）




此时，就可以在这个命令行界面中输入需要加密的文字了，图中内容纯属虚构，仅用于演示目的：





在完成文字的输入后，输入EOF符号即可（Windows下的EOF符号为Ctrl+Z键），程序会开始将明文进行加密并输出：





此时，将界面中的密文用鼠标全选后复制出来，就可以发送给收件人了。而收件人在收到文字后需要解密并验证签名时，操作比签名加密简单的多，只需要复制所有的密文，然后在命令行界面中输入gpg2然后回车，再粘贴所有部分的密文，再输入EOF符号即可，程序会要求输入解密用的私钥的口令以完成解密。如下图，签名已经验证通过（见Good signature字样）。（注：再次声明，本演示内容无论是邮件地址还是姓名还是消息内容均属虚构）




        看到这里，或许您会认为GPG仅仅是一个保密工具，实际上并不仅仅是这样。加密和签名是两个分开的功能，使用者可以仅仅加密，或仅仅签名。而仅仅签名的使用方法，在自由开源软件社区中作为验证各种软件包的完整性和真实性，正被广泛地使用。对文件进行签名，可以生成一个分离于文件本身的独立签名文件；对文字内容进行签名，可以生成将文字包含在签名里的明文签名。如下图，


这里在下使用演示用密钥给一个软件安装包进行签名，往后假如由于各种原因如磁盘坏道导致数据部分丢失，签名将无法验证通过。而下图中显示了签名和验证签名的命令行界面的过程。其中，参数b为分离的签名。





以下是对纯文字进行签名的过程





可以看出，签名内部带有文字的明文内容，直接使用gpg2并回车的命令后粘贴完整的签名并跟随EOF符号后，可以看出签名已经获得通过



假如明文签名中无论是签名内容还是文字内容本身任意一项受到了改动，签名都不会验证通过，比如改改金额什么的……