Создание и импорт сертификатов OpenPGP#

Содержание:

• Создание сертификата
• Выбор алгоритма
• Срок действия и пароль
• Импорт сертификата
• Импорт закрытого ключа
• Восстановление из бумажной копии
• Удаление сертификата
• Возможные ошибки
• Смотрите также

Создание сертификата#

1. Убедитесь, что в настройках выбран стандарт операций OpenPGP.
2. Откройте раздел Сертификаты.
3. Нажмите Добавить сертификат → Создать новый.

4. В окне «Создание сертификата OpenPGP» заполните:

5. Имя — например, «Иван Петров»;

6. Электронная почта — адрес, по которому вас узнают корреспонденты;
7. Алгоритм — схема ключа;
8. Срок действия — дата или Бессрочно;
9. Пароль и его подтверждение.

1. Нажмите Создать.

Появится сообщение «Сертификат успешно создан», и сертификат появится в разделе Личные сертификаты.

⚠️ Важно: сразу после создания сделайте резервную копию закрытого ключа. Восстановить его иначе невозможно.

Выбор алгоритма#

Если вы не знаете, что выбрать, выбирайте Curve 25519: современная схема, которую понимают современные программы OpenPGP. RSA 4096 выбирают ради совместимости со старыми программами. Постквантовые схемы (PQ-гибриды) выбирают по договорённости с корреспондентом: постквантовое шифрование (ML-KEM) GnuPG понимает начиная с версии 2.5, а постквантовой подписи (ML-DSA) в нём пока нет вовсе — ключ с такой подписью он не импортирует.

Алгоритм основного ключа задаётся один раз при создании и потом не меняется. Если позже понадобится другой алгоритм, к сертификату добавляют подключ.

Полный список схем#

Кривая Brainpool P-256 доступна только в гибридной схеме с ML-KEM-768: отдельной классической схемы на ней в списке нет.

Срок действия и пароль#

Срок действия ограничивает время использования сертификата. Значение «Бессрочно» снимает ограничение.

Пароль защищает закрытый ключ. Он запрашивается при подписании, расшифровании, заверении, отзыве и экспорте закрытого ключа.

⚠️ Важно: пароль восстановить нельзя. Если он утерян, закрытый ключ становится непригоден.

Импорт сертификата#

Чтобы проверять подписи корреспондентов и шифровать в их адрес, импортируйте их открытые ключи.

1. Откройте раздел Сертификаты.
2. Нажмите Добавить сертификат → Импортировать из файла.
3. Выберите файл ключа — обычно .asc, .gpg или .pgp.

Появится сообщение об импорте. Если в файле несколько сертификатов, будет указано их количество.

Пока сертификат не заверен, его достоверность — Неизвестна. Сверьте отпечаток ключа с владельцем и заверьте сертификат.

Если импортирован один чужой сертификат, а у вас есть личный сертификат для заверения, приложение сразу спросит «Заверить импортированный сертификат?» и покажет отпечаток. Заверить открывает окно заверения, Не сейчас — закрывает вопрос: заверить сертификат можно и позже. Чтобы вопрос больше не появлялся, отметьте «Больше не спрашивать». При импорте нескольких файлов сразу приложение не спрашивает.

Импорт закрытого ключа#

Импортировать можно закрытый ключ, выгруженный из КриптоАРМ, бумажную резервную копию и закрытый ключ в стандартном формате OpenPGP — например, выгруженный из GnuPG.

Если в файле находится закрытый ключ, приложение попросит пароль закрытого ключа. Окно называет файл, о котором спрашивает. Если выбрано несколько файлов с закрытыми ключами, пароль запрашивается для каждого по очереди — «Файл 1 из 2», — потому что защищены они могут быть по-разному.

1. Введите пароль, которым защищён ключ в файле, и подтверждение. Если ключ в файле паролем не защищён, задайте новый.
2. Оставьте флажок «Это мой ключ, им пользуюсь только я», если ключ ваш. Снимите его, если ключом пользуется кто-то ещё, — например, это общий ключ отдела.
3. Нажмите Импортировать.

Этот же пароль будет защищать ключ в приложении и запрашиваться при операциях с ним. Сменить его можно в действиях сертификата.

Если закрыть окно на втором или следующем файле, уже импортированные ключи останутся в приложении, остальные файлы импортированы не будут.

С флажком сертификат получает Абсолютное доверие владельцу и Абсолютную достоверность — как сертификат, созданный в приложении. Без флажка доверие остаётся Неизвестно, а достоверность — Неизвестна, как у чужого сертификата: подписывать и расшифровывать ключом можно, но при проверке его подписей приложение предупредит о недостоверном сертификате. Чтобы сделать такой сертификат достоверным, заверьте его другим своим сертификатом — если он у вас есть, приложение предложит это сразу после импорта.

Восстановление из бумажной копии#

Закрытый ключ, распечатанный на бумаге, можно вернуть в приложение: наберите содержимое распечатки в текстовый файл и импортируйте его как обычный файл ключа.

Каждая строка распечатки снабжена контрольной суммой, поэтому опечатка будет обнаружена:

Удаление сертификата#

1. Выделите сертификат в списке или отметьте флажками несколько.
2. Нажмите Удалить.
3. Подтвердите действие. Для одного сертификата окно называется «Удаление сертификата», для нескольких в заголовке указано их число. Если открыта группа, окно предупредит, что сертификаты удаляются из хранилища, а не только из группы.

Появится сообщение «Сертификат удалён» или с числом удалённых. Если часть сертификатов удалить не удалось, сообщение покажет, сколько удалено из выбранных, а причина отказа будет в журнале.

⚠️ Важно: вместе с личным сертификатом безвозвратно удаляется закрытый ключ — окно подтверждения предупреждает об этом. Восстановить ключ можно только из резервной копии; без неё расшифровать ранее зашифрованные файлы будет невозможно.

Возможные ошибки#

Смотрите также#

• О разделе OpenPGP — устройство раздела.
• Действия с сертификатами — подключи, заверение, отзыв.
• Экспорт и резервное копирование.
• Глоссарий — термины электронной подписи простыми словами.