¿Cifrar archivos solo con SSH -priv-key?

Supongamos que quiero cifrar un archivo para que solo yo pueda leerlo, conociendo mi contraseña de clave privada SSH. Estoy compartiendo un repositorio donde quiero cifrar u ofuscar información confidencial. Con eso, quiero decir que el repositorio contendrá la información, pero la abriré solo en casos especiales.

1. Supongamos que estoy usando SSH-agent, ¿hay alguna manera fácil de cifrar el archivo para que solo yo pueda abrirlo más tarde?

2. No puedo ver por qué debería usar GPG para esto, pregunta aquí ; Básicamente conozco la contraseña y solo quiero descifrar el archivo con la misma contraseña que mi clave SSH. es posible?

Creo que su requisito es válido, pero por otro lado también es difícil, porque está mezclando cifrado simétrico y asimétrico. Por favor corrígeme si estoy equivocado.

Razonamiento:

1. La frase de contraseña para su clave privada es proteger su clave privada y nada más.
2. Esto lleva a la siguiente situación: desea utilizar su clave privada para cifrar algo que solo usted puede descifrar. Su clave privada no está destinada a eso, su clave pública está ahí para hacer eso. Lo que cifre con su clave privada puede ser descifrado por su clave pública (firma), eso ciertamente no es lo que desea. (Lo que se cifre con su clave pública solo se puede descifrar con su clave privada).
3. Por lo tanto, debe usar su clave pública para cifrar sus datos, pero para eso, no necesita su frase de contraseña de clave privada para eso. Solo si desea descifrarlo necesitaría su clave privada y la frase de contraseña.

Conclusión: Básicamente, desea reutilizar su frase de contraseña para el cifrado simétrico. El único programa que le gustaría dar a su frase de contraseña es ssh-agent y este programa no hace cifrado / descifrado solo con la frase de contraseña. La frase de contraseña solo está ahí para desbloquear su clave privada y luego olvidarse.

Recomendación: Use openssl enco gpg -e --symmetriccon archivos de clave protegidos con frase de contraseña para el cifrado. Si necesita compartir la información, puede utilizar la infraestructura de clave pública de ambos programas para crear una PKI / Web of Trust.

Con openssl, algo como esto:

$ openssl enc -aes-256-ctr -in my.pdf -out mydata.enc 

y descifrar algo como

$ openssl enc -aes-256-ctr -d -in mydata.enc -out mydecrypted.pdf

Actualización: es importante tener en cuenta que los comandos openssl anteriores NO evitan que se alteren los datos. Un simple cambio de bit en el archivo enc también dará como resultado datos descifrados corruptos. Los comandos anteriores no pueden detectar esto, debe verificar esto, por ejemplo, con una buena suma de verificación como SHA-256. Hay formas criptográficas de hacer esto de manera integrada, esto se llama HMAC (Código de autenticación de mensajes basado en hash).

Preferiría usar la opensslutilidad, ya que parece ser bastante ubicua.

Convierta la clave pública RSA y la clave privada al formato PEM:

$ openssl rsa -in ~/.ssh/id_rsa -outform pem > id_rsa.pem
$ openssl rsa -in ~/.ssh/id_rsa -pubout -outform pem > id_rsa.pub.pem

Cifrar un archivo con su clave pública:

$ openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem -in file.txt -out file.enc

Descifrar el archivo con su clave privada:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc -out file.txt

Pero, como Gilles comentó anteriormente, esto solo es adecuado para encriptar archivos más pequeños que su clave pública, por lo que podría hacer algo como esto:

Genere una contraseña, cifre el archivo con ella simétricamente y cifre la contraseña con su público, la clave la guarda en el archivo:

$ openssl rand 64 | 
tee >(openssl enc -aes-256-cbc -pass stdin -in file.txt -out file.enc) |
openssl rsautl -encrypt -pubin -inkey id_rsa.pub.pem  -out file.enc.key

Descifre la frase de contraseña con su clave privada y úsela para descifrar el archivo:

$ openssl rsautl -decrypt -inkey id_rsa.pem -in file.enc.key | 
openssl enc -aes-256-cbc -pass stdin -d -in file.enc -out file.txt

Terminarás con dos archivos, tu archivo encriptado y tu frase de contraseña encriptada, pero si lo pones en un script, funcionaría bien.

Incluso podría agregar una tar cvf file file.enc file.enc.keypara ordenar.

De manera óptima, maximizaría el tamaño de su frase de contraseña y cambiaría rand 64el tamaño de su clave pública.

Mira luks / dm-crypt . Puede usar su clave privada ssh como clave de cifrado utilizando la opción adecuada.

Actualización: Ejemplo de encriptación usando LUKS con un dispositivo LV-block (prueba LV en sistema VG):

KEY=/home/youraccount/.ssh/id_dsa
DEVICE=/dev/system/test
cryptsetup luksFormat $DEVICE $KEY
cryptsetup luksOpen $DEVICE test_crypt --key-file $KEY

Esto debería generar un dispositivo de bloque / dev / mapper / test_crypt que puede usar para almacenar sus datos (después de formatearlo con un sistema de archivos de su elección).

Para deshacerse de él, desmóntelo y úselo cryptsetup luksClose test_crypt.