Debian消息加密如何操作
小樊
43
2025-12-12 08:07:53
Debian消息加密实操指南
一、GPG加密与签名（人与人、端到端）
- 安装与生成密钥
- 安装：sudo apt update && sudo apt install gnupg
- 生成密钥：gpg --gen-key（建议选择RSA 4096，设置有效期并妥善保存私钥口令）
- 生成吊销证书（丢失或泄露时使用）：gpg --output ~/revocation.crt --gen-revoke your_email@example.com，随后将证书离线妥善保存（chmod 600）
- 导入与验证对方公钥
- 导入文件：gpg --import name_of_pub_key_file
- 从公钥服务器搜索并导入：gpg --keyserver pgp.mit.edu --search-keys 关键词/邮箱
- 线下核对指纹并签名建立信任：gpg --fingerprint your_email@example.com；gpg --sign-key 对方指纹/邮箱
- 加密与解密
- 加密（收件人用其公钥加密）：gpg --encrypt --recipient 对方邮箱 message.txt，输出为 message.txt.gpg
- 解密（收件人用其私钥解密）：gpg --decrypt message.txt.gpg > message.txt
- 签名与验签（完整性/来源可信）
- 签名：gpg --sign message.txt（生成二进制签名，亦可 --clearsign 生成明文签名）
- 验签：gpg --verify message.txt.asc [message.txt]
- 适用场景：发送敏感文本/附件、离线交换信息、对日志或备份做端到端加密归档。
二、OpenSSL对称加密（口令保护，快速便捷）
- 安装：sudo apt update && sudo apt install openssl
- 加密（口令派生 + Base64便于传输）
- echo “Secret” | openssl enc -aes-256-cbc -a -salt -pbkdf2 -out msg.enc
- 解密
- openssl enc -d -aes-256-cbc -a -pbkdf2 -in msg.enc -out msg.txt
- 说明：同一口令在两端一致即可；适合临时消息或脚本内对小块数据加密。请妥善保护口令。
三、邮件传输加密（TLS）
- 为Postfix配置SMTP/Submission的SSL/TLS
- 安装：sudo apt install postfix openssl
- 生成自签名证书（测试用）：sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/mail.key -out /etc/ssl/certs/mail.crt
- 编辑 /etc/postfix/main.cf，加入/修改：
- smtpd_tls_cert_file=/etc/ssl/certs/mail.crt
- smtpd_tls_key_file=/etc/ssl/private/mail.key
- smtpd_use_tls=yes
- smtpd_tls_session_cache_database=btree:${data_directory}/smtpd_scache
- smtp_tls_session_cache_database=btree:${data_directory}/smtp_scache
- 重载：sudo systemctl reload postfix
- 测试：openssl s_client -connect yourdomain.com:25 -starttls smtp
- 说明：自签名证书在客户端会出现安全警告；生产环境建议使用Let’s Encrypt或受信任CA证书。
四、常见问题与建议
- 密钥与口令管理
- 私钥与吊销证书务必离线保存；为GPG私钥设置强口令并定期更换；对重要密钥制作多份备份（含纸质备份）。
- 公钥可信链
- 首次通信务必通过线下/可信渠道核对指纹后再签名/加密，避免中间人攻击。
- 算法与参数
- GPG优先使用RSA 4096或Ed25519；对称加密优先AES-256-CBC并启用PBKDF2等密钥派生。
- 邮件加密策略
- 端到端机密性建议结合GPG；传输层安全使用TLS；对外服务优先受信任CA证书，减少客户端告警。
