Dotaz: PEM certifikat z gpg klice

[egg]

Mám PGP/GPG pár klíčů (DSA). Jak z nich vytvořím .pem certifikát?

O co mi jde: chci podepisovat své e-maily v Mozille (Debian) stejným klíčem jako dříve pod Windows PGP. Překonvertoval jsem si klíče přes ascii do gpg. Mozilla vyžaduje .p12 (.pfx) soubor s certifikátem. Zjistil jsem jak PKCS12 vyvořit z PEM (případně DER):

$ openssl pkcs12 -export -in pem-certificate-and-key-file -out pkcs-12-certificate-and-key-file

Všude se píše, jak vygenerovat nový .pem certifikát, ale nenašel jsem, jak ho vytvořit ze stávajícího páru klíčů ve formátu PGP/GPG/ascii.

---

---

Odpovědi

[User682]

zdravim,
podle mych malych znalosti ohledne pgp a openssl a vysledku z googla, michate hrusky s jabkama.
elektronicky klic a certifikat jsou dve rozdilne veci.
cilize vam nezbyde nic jineho nez certifikat vygenerovat, pokud ho nemate. nicmene jsem nejak nepochopil proc chce mozilla certifikat. osobne pouzivam mutta podepisuju pre gpg.
zatim goldenfish

[egg]

Pravda, že jsem byl trošku zmaten. Můj problém řeší Enigmail, plugin do Mozilla mailu. Tím jsem bohužel přišel o iluzi, že svůj elektronický klíč budu moci používat pro komunikaci s úřady. Mám za to, že k tomu je třeba certifikát. Nebo ne?

[User682]

tak tady neporadim. ja s urady radeji nekomunikuju a kdyz uz tak osobne.
kazdopadne pres openssl lze kryptovat a dekryptovat maily ci jina data. a zde by se mohl certifikat hodit.
ale jak je to reseno s elektronickou postou to neporadim. jinak vice certifikatech je na http://www.ica.cz. na to se jeste mrknu dneska.dik za tip.

[User682]

na http://www.ica.cz to vypada zajimave.to zni jako vyzva to zprovoznit v muttu. Utlouk nebo X-ka nepestuju a pres openssl by to melo jit. jako ze po prazdninach to budu muset patrne zprovoznit.

[egg]

Podle části 4.2 certifikační politiky I.CA je třeba prokázat vlastnictví "dat pro vytváření elektronických podpisů" tím, že těmito daty podepíšeme žádost o certifikát. Co jsou taková data, definuje zákon a já si pod tím představuji soukromou část klíče. Takže jestli jsem ty dva dokumenty dobře pochopil, přijdu na I.CA se žádostí o certifikát, kterou podepíšu svým vlastním skouromým klíčem, prokážu totožnost apod., a I.CA mi vydá elektronický certifikát, který jednak umožňuje mým klíčem podepisovat a jednak jménem autority zaručuje, že je to můj průkaz totožnosti. Pokud se v něčem mýlím, budu moc rád, pokud mě někdo poučí.

[egg]

Roman Pavlík mě poučil, že x509 certifikáty a klíče PGP/GPG jsou oddělené světy. Dalším čtením politiky I.CA jsem pochopil, že pár klíčů pro svůj certifikát si žadatel (s výjimkou použití čipových karet) generuje vždy sám, ale nikoliv jako pár klíčů GPG ale jako certifikát formátu PKCS#10 nebo Netscape SPKAC. Závěr - pro komunikaci se státnímí úřady nelze použít PGP/GPG klíče, protože x509 certifikáty na rozdíl od OpenPGP používají hierarchický systém udělování důvěry. Z téhož důvodu není možné mezi sebou převádět pgp klíče a cerifikáty. Howgh.