Просмотр исходного текста страницы Сервер публичных ключей PGP

Ссылки:
[http://wiki.dvo.ru/wiki/Организация_проверки_подписей_PGP Первоисточник],
[[Организация проверки PGP подписей]],
[http://lintest.ru/files/PGPKeyserverSchema.zip PGPKeyserverSchema.zip],
[[pgp-keyserver.schema]]

==Установка сервера OpenLDAP==

В данной статье рассматривается установка в организации простейшего сервера публичных ключей (keyserver) PGP работающего через LDAP на сервере CentOS 5.7. Далее предполагается, что сервер имеет сетевое имя: <tt>keyserver.example.com</tt>.

Для развёртывания сервера ключей понадобится установить OpenLDAP:

<source lang="bash">
yum install openldap-servers openldap-clients
</source>

Запускаем утилиту <tt>setup</tt> и в настройках межсетевого экрана "Разрешить входящие", "Другие порты" указываем порт "ldap".

==Настройка конфигурационных файлов OpenLDAP ==

Для того чтобы openldap смог выступать в качестве сервера ключей необходимо добавить в файл настроек slapd.conf ссылки на схему [{{SERVER}}/files/PGPKeyserverSchema.zip pgp-keyserver.schema].

Минимальная настройка файла ldap.conf:
 #
 # See ldap.conf(5) for details
 # This file should be world readable but not world writable.
 #
 BASE	dc=EXAMPLE,dc=COM
 SIZELIMIT	0
 TIMELIMIT	900

Ниже предложен минимальный вариант настройки slapd.conf:
 #
 # See slapd.conf(5) for details on configuration options.
 # This file should NOT be world readable.
 #
 
 '''include    /etc/openldap/schema/pgp-keyserver.schema'''
 include    /etc/openldap/schema/core.schema
 include    /etc/openldap/schema/cosine.schema
 include    /etc/openldap/schema/inetorgperson.schema
 include    /etc/openldap/schema/nis.schema
 
 allow bind_v2
 '''allow update_anon'''
 '''allow bind_anon_cred'''
 
 pidfile    /var/run/openldap/slapd.pid
 argsfile   /var/run/openldap/slapd.args
 
 #######################################################################
 # ldbm and/or bdb database definitions
 #######################################################################
 
 '''database    ldif'''
 '''suffix      dc=EXAMPLE,dc=COM'''
 '''rootdn      cn=ROOT,dc=EXAMPLE,dc=RU'''
 '''rootpw      secret'''
 
 # Cleartext passwords, especially for the rootdn, should
 # be avoided.  See slappasswd(8) and slapd.conf(5) for details.
 # Use of strong authentication encouraged.
 # rootpw	{SSHA}rEOVfe4gEMuw1xj3URjwnGpCsjYhu9yr
 
 '''access to * by * read'''
 '''access to * by * write'''
 '''access to * by * auth'''
 
 # The database directory MUST exist prior to running slapd AND 
 # should only be accessible by the slapd and slap tools.
 # Mode 700 recommended.
 directory	/var/lib/ldap
 
 # Indices to maintain for this database
 index objectClass                       eq,pres
 index ou,cn,mail,surname,givenname      eq,pres,sub
 index uidNumber,gidNumber,loginShell    eq,pres
 index uid,memberUid                     eq,pres,sub
 index nisMapName,nisMapEntry            eq,pres,sub
 
 '''index pgpCertID,pgpKeyID,pgpKeyType,pgpKeyCreateTime sub,eq'''
 '''index pgpSignerID,pgpSubKeyID,pgpKeySize,pgpKeyExpireTime sub,eq'''
 '''index pgpDisabled,pgpRevoked eq'''

'''Внимание!''' Данные настройки разрешают анонимный доступ, чтение, запись и удаление ключей на сервере LDAP. Это допустимо только если вам требуется обеспечить работу устаревших клиентов PGP, которые не поддерживают авторизацию при отправке ключей на сервер. В противном случае необходимо для анонимных клиентов ограничить доступ только для чтения. Кроме того в открытом виде здесь указан пароль <tt>secret</tt>, что тоже не рекомендуется.

В данных настройках указан формат базы <tt>ldif</tt> (простой текст), что вполне допустимо если на сервере хранится небольшое количество ключей. Это может быть удобно для упрощения процедуры резервного копирования. В остальных случаях рекомендуется использовать формат базы данных по-умолчанию <tt>bdb</tt>.

==Первоначальное заполнение дерева==

После добавления схемы и конфигурирования <tt>slapd.conf</tt> необходимо создать в LDAP следующее дерево:

 dc=EXAMPLE,dc=COM
  |
  +----cn=PGPServerInfo
  |
  +----ou=PGP Keys
       +---pgpCertID=...
       +---pgpCertID=...

Это дерево можно создать либо при помощи <tt>phpLDAPAdmin</tt>, либо посредством файла <tt>example.ldif</tt>:

 dn: dc=EXAMPLE,dc=COM
 dc: EXAMPLE
 objectClass: domain
 objectClass: top
 
 dn: ou=PGP Keys,dc=EXAMPLE,dc=COM
 ou: PGP Keys
 objectclass: organizationalUnit
 
 dn: cn=PGPServerInfo,dc=EXAMPLE,dc=COM
 cn: PGPServerInfo
 objectclass: pgpserverinfo
 pgpSoftware: OpenLDAP
 pgpVersion: 2.2.27
 pgpBaseKeyspaceDN: ou=PGP Keys,dc=EXAMPLE,dc=COM
 
Для этого выполните команду. Потребуется ввести пароль: <tt>secret</tt>.
<source lang="bash">
ldapadd -xWD "cn=ROOT,dc=EXAMPLE,dc=COM" < example.ldif
</source>

==Настройка GnuPG для работы с сервером ключей==

Для работы GnuPG с сервером ключей необходимо прописать сервер ключей в файле настроек. В стандартной конфигурации этот файл находится в домашней директории пользователя <tt>~/.gnupg/gpg.conf</tt>. 

Пример настройки GnuPG, для работы с сервером ключей LDAP:

 keyserver ldap://keyserver.example.com
 keyserver-options basedn="ou=PGP Keys,dc=EXAMPLE,dc=COM"
 keyserver-options binddn="cn=ROOT,dc=EXAMPLE,dc=COM"
 keyserver-options bindpw=secret
 keyserver-options auto-key-retrieve

Вышеприведённая конфигурация работает с сервером keyserver.example.com по протоколу ldap, от имени пользователя root.
Очень важно здесь указать basedn, программа кладет и получает ключи непосредственно под этим base dn.

==Настройка клиента PGP для Windows==

В настройках клиента выберите вкладку серверы и добавьте новый сервер: <tt>ldap://keyserver.example.com:389</tt>

[[Файл:pgp_windows_keyserver.png]]

Выберите его как корневой (сервер по-умолчанию).