Debian消息加密如何操作

Debian消息加密实操指南

一、GPG加密与签名（人与人、端到端）

• 安装与生成密钥
  • 安装：sudo apt update && sudo apt install gnupg
  • 生成密钥：gpg --gen-key（建议选择RSA 4096，设置有效期并妥善保存私钥口令）
  • 生成吊销证书（丢失或泄露时使用）：gpg --output ~/revocation.crt --gen-revoke your_email@example.com，随后将证书离线妥善保存（chmod 600）
• 导入与验证对方公钥
  • 导入文件：gpg --import name_of_pub_key_file
  • 从公钥服务器搜索并导入：gpg --keyserver pgp.mit.edu --search-keys 关键词/邮箱
  • 线下核对指纹并签名建立信任：gpg --fingerprint your_email@example.com；gpg --sign-key 对方指纹/邮箱
• 加密与解密
  • 加密（收件人用其公钥加密）：gpg --encrypt --recipient 对方邮箱 message.txt，输出为 message.txt.gpg
  • 解密（收件人用其私钥解密）：gpg --decrypt message.txt.gpg > message.txt
• 签名与验签（完整性/来源可信）
  • 签名：gpg --sign message.txt（生成二进制签名，亦可 --clearsign 生成明文签名）
  • 验签：gpg --verify message.txt.asc [message.txt]
• 适用场景：发送敏感文本/附件、离线交换信息、对日志或备份做端到端加密归档。

二、OpenSSL对称加密（口令保护，快速便捷）

• 安装：sudo apt update && sudo apt install openssl
• 加密（口令派生 + Base64便于传输）
  • echo “Secret” | openssl enc -aes-256-cbc -a -salt -pbkdf2 -out msg.enc
• 解密
  • openssl enc -d -aes-256-cbc -a -pbkdf2 -in msg.enc -out msg.txt
• 说明：同一口令在两端一致即可；适合临时消息或脚本内对小块数据加密。请妥善保护口令。

三、邮件传输加密（TLS）

• 为Postfix配置SMTP/Submission的SSL/TLS
  • 安装：sudo apt install postfix openssl
  • 生成自签名证书（测试用）：sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/mail.key -out /etc/ssl/certs/mail.crt
  • 编辑 /etc/postfix/main.cf，加入/修改：
    • smtpd_tls_cert_file=/etc/ssl/certs/mail.crt
    • smtpd_tls_key_file=/etc/ssl/private/mail.key
    • smtpd_use_tls=yes
    • smtpd_tls_session_cache_database=btree:${data_directory}/smtpd_scache
    • smtp_tls_session_cache_database=btree:${data_directory}/smtp_scache
  • 重载：sudo systemctl reload postfix
  • 测试：openssl s_client -connect yourdomain.com:25 -starttls smtp
• 说明：自签名证书在客户端会出现安全警告；生产环境建议使用Let’s Encrypt或受信任CA证书。

四、常见问题与建议

• 密钥与口令管理
  • 私钥与吊销证书务必离线保存；为GPG私钥设置强口令并定期更换；对重要密钥制作多份备份（含纸质备份）。
• 公钥可信链
  • 首次通信务必通过线下/可信渠道核对指纹后再签名/加密，避免中间人攻击。
• 算法与参数
  • GPG优先使用RSA 4096或Ed25519；对称加密优先AES-256-CBC并启用PBKDF2等密钥派生。
• 邮件加密策略
  • 端到端机密性建议结合GPG；传输层安全使用TLS；对外服务优先受信任CA证书，减少客户端告警。