Dejavu's Blog
·
在 Windows 中使用 Yubikey 的 OpenPGP 应用
内容提要
几年前，我开始使用Canokey硬件安全密钥，并记录了配置过程。近期在Windows上重新配置时遇到Win32-OpenSSH与GnuPG的兼容性问题。经过查阅资料，我成功完成了配置，确保下次重装系统时能快速设置。本文记录了Win32-OpenSSH的配置过程，强调了与其他工具的区别及安全考虑。
关键要点
-
作者几年前开始使用Canokey硬件安全密钥，并记录了配置过程。
-
在Windows上重新配置时遇到Win32-OpenSSH与GnuPG的兼容性问题。
-
经过查阅资料，成功完成了配置，确保下次重装系统时能快速设置。
-
本文着重于Win32-OpenSSH的配置，而非其他工具的实现。
-
Windows的命名管道与*nix系统的套接字处理机制存在本质区别。
-
配置流程包括YubiKey、gpg-agent和OpenPGP密钥的设置。
-
在新安装的Windows系统上，通过Scoop安装gnupg、git和sudo。
-
确保Win32-OpenSSH的ssh-agent服务已停止，以避免干扰gpg-agent。
-
创建scdaemon.conf文件以配置YubiKey的读卡器信息。
-
导入PGP公钥并信任自己的公钥以进行签名。
-
配置Git以使用GPG进行提交签名。
-
验证GPG签名的过程包括创建测试文件和签名验证。
-
配置SSH代理以支持身份认证子密钥。
-
重新启动相关进程以确保配置生效。
-
测试GitHub SSH访问以确认配置成功。
-
目前在PIN输入方面仍存在小问题，未找到满意的解决方案。
延伸解读
Windows与*nix系统的兼容性问题
在Windows上配置YubiKey时，用户可能会遇到Win32-OpenSSH与GnuPG之间的兼容性问题。这是由于Windows的命名管道与*nix系统的套接字处理机制存在本质区别，导致代理转发的配置变得复杂。用户在配置时需特别注意这些差异，以避免不必要的麻烦。
配置过程中的安全考虑
在配置YubiKey和GnuPG时，确保ssh-agent服务已停止是关键步骤之一。这是因为ssh-agent可能会干扰gpg-agent的正常工作，影响安全性。用户应仔细检查相关服务状态，以确保配置的安全性和有效性。
PIN输入问题的潜在影响
尽管配置完成，但在使用YubiKey进行SSH认证时，PIN输入仍存在小问题。当前的pinentry-basic.exe无法自动获取输入焦点，用户需要手动点击输入框。这可能影响用户体验，尤其是在频繁需要输入PIN的情况下，建议用户关注这一点以优化使用流程。
延伸问答
如何在Windows上配置YubiKey与OpenPGP的兼容性？
在Windows上配置YubiKey与OpenPGP的兼容性需要确保Win32-OpenSSH的ssh-agent服务已停止，并通过Scoop安装gnupg、git和sudo，配置gpg-agent和OpenPGP密钥。
在Windows中使用YubiKey时，如何处理PIN输入问题？
在Windows中使用YubiKey时，PIN输入问题可能需要手动点击输入框，当前环境下尚未找到满意的解决方案。
为什么选择Win32-OpenSSH而非其他工具进行配置？
选择Win32-OpenSSH是因为其原生实现更简单高效，而PuTTY等工具在代理转发方面不够简洁。
如何在Git中配置GPG进行提交签名？
在Git中配置GPG进行提交签名需要设置用户信息、签名密钥，并将gpg程序路径添加到Git配置中。
在新安装的Windows系统上，如何安装gnupg和git？
在新安装的Windows系统上，可以通过Scoop命令安装gnupg和git，命令为'scoop install gnupg'和'scoop install git'。
如何验证GPG签名的过程？
验证GPG签名的过程包括创建测试文件、使用gpg命令进行签名，并通过gpg -verify命令验证签名的有效性。
