KMail, Kleopatra, gpgsm a kořenové certifikáty

11.7.2005 14:24 | Přečteno: 1808× | Howto | poslední úprava: 11.7.2005 14:36

Hledáním způsobu, jak označit certifikát za důvěryhodný pro použití v KMailu jsem strávil poměrně dost času, tak se o něj podělím.

KDE používají na spravování X.509 certifikátů program Kleopatra. To ovšem není nic jiného než klikátko pro gpgsm. Kleopatra sama o sobě neumí nastavit certifikát jako důvěryhodný, to je potřeba řešit přímo v gpgsm. Důvěryhodné certifikáty (tedy jejich fingerprinty) si uživatel zapisuje do souboru ~/.gnupg/trustlist.txt ručně (je možné povolit spravovnání pomocí gpg-agenta, ale to není z bezpečnostních důvodů doporučováno, lidi moc často všechno odklikají .

Formát souboru je jednoduchý – kromě komentářů a prázdných řádek, každá obsahuje fingerprint klíče a za ním jeden znak (P, S nebo *), který asi určuje k čemu se certifikát může používat. Ve všech příkladech jsem našel jenom S a žádné vysvětlení a zdrojáky se mi zatím číst nechtělo ).

Nejdříve potřebujeme zjistit a ověřit fingerprint klíče. Pokud ho již máme naimportovaný, můžeme ho najít ve výpisu všech klíčů pomocí gpgsm --list-keys:

Serial number: 00
       Issuer: /CN=CA Cert Signing Authority/OU=http:\x2f\x2fwww.cacert.org/O=Root CA/EMail=support@cacert.org
      Subject: /CN=CA Cert Signing Authority/OU=http:\x2f\x2fwww.cacert.org/O=Root CA/EMail=support@cacert.org
     validity: 2003-03-30 12:29:49 through 2033-03-29 12:29:49
     key type: 4096 bit RSA
 chain length: unlimited
  fingerprint: 13:5C:EC:36:F4:9C:B8:E9:3B:1A:B2:70:CD:80:88:46:76:CE:8F:33

Pak nějakou důvěryhodnou cestou ověříme jeho správnost a můžeme ho přidat do seznamu důvěryhodných:

# /CN=CA Cert Signing Authority/OU=http:\x2f\x2fwww.cacert.org/O=Root CA/EMail=support@cacert.org
13:5C:EC:36:F4:9C:B8:E9:3B:1A:B2:70:CD:80:88:46:76:CE:8F:33 S

Nakonec je ještě potřeba dát vědět gpg-agentovi o této změne signálem HUP. A nyní by již maily podepsané certifikáty podepsanými touto autoritou měly být v KMailu zelené .

       

Komentáře

[Luboš Doležel (Doli)]

A jak importovat privátní klíč do Kleopatry nevíš? Dostanu jen decryption failed (ani se nezeptá na heslo).

[Michal Čihař]

To jsem ještě nepotřeboval (resp. nemám zatím podepsaný certifikát, tak je zbytečné to řešit). Ale z Googla mi vypadlo tohle.

[Luboš Doležel (Doli)]

U toho návodu jsem skončil na

gpgsm —call-protect-tool —p12-import —store seckey.p12

s chybou

gpgsm: error executing `/usr/libexec/gpg-protect-tool': není souborem ani adresářem

[Michal Čihař]

gpg-protect-tool mám v /usr/lib, tak je tam možná špatná cesta?

[Luboš Doležel (Doli)]

A já ho nemám vůbec...

[Michal Čihař]

Tak to máš špatnou distribuci, doporučuju použít jejich bugzillu

[Luboš Doležel (Doli)]

Špatnou? Tá má je přece vždy ta nejlepší (Gentoo)!

Možná jen špatné USE flagy...

[Michal Čihař]

Jo aha, tak zrovna tohle mají jinde (SUSE a Debian, jiné neznám) vyřešeno mnohem líp . Když jsem naposled koukal do tohodle ebuildu, tak to tam nebylo podporovaný (je potřeba kompilovat gpgme proti novému gpg), respektive ta část byla zakomentovaná.

[Stanislav Schattke]

Mel jsem maly problem s Verisign musel jsem do trustlist.txt vlozit fingerprint takto:

B3:EA:C4:47:76:C9:C8:1C:EA:F2:9D:95:B6:CC:A0:08:1B:67:EC:9D S relax

bez relax to nejelo. Takze kdyby jste se nekdo s tim trapil.

[komodo]

Taky mam problem s  verisign, uz jsem nastavil snad vse dle navodu na netu ale porad to neoveri podpis. A kdyz si dam Audit log tak mi to hlasi "root certificate missing".

Jo a je zajimavy, ze kdy jsem na kmail pustil strace tak jsem nikde nenasel, ze by vubec sahal na soubor trustlist.txt.

Ma nekdo nejakej napda, kde by mohl byt jeste problem ?

 

Diky