Как сохранить GnuPG ключ на бумаге: полное руководство

Асимметричные ключи RSA/EdDSA, которые вы используете с GnuPG и SSH, — это ключи доступа к зашифрованной информации. Потеря закрытого ключа обычно приводит к невозможности расшифровать данные. Проблемы с удалёнными серверами без доступа также серьёзны. Поэтому важно делать резервные копии ключей и хранить их безопасно. Хранение на бумаге не первое, что приходит на ум, но это одно из самых простых и надёжных решений при правильном подходе.

Что такое бумажная резервная копия и зачем она нужна

Определение: бумажная резервная копия — физическое представление цифровых данных (ключа или файла) распечатанное в человеко- и машинно-читаемой форме (QR, DataMatrix, в виде base64 и т.п.).

Преимущества:

• Оффлайн-хранение: ключи вне сети, их нельзя перехватить по сети.
• Простота: для небольших объёмов (ключи, сертификаты, короткие конфиги) требуется всего несколько листов.
• Долговечность: при использовании тонера и безкислотной бумаги распечатка может храниться десятилетиями.
• Низкая ценность для вора: злоумышленнику интереснее забрать накопитель с большим объёмом данных, чем пачку бумаги.

Важно: бумага не заменяет другие меры безопасности. Это компонент стратегии резервного копирования с учётом вашей модели угроз.

Недостатки и риски бумажных копий

• Ошибки при переключении форматов: при переводе данных в QR или base64 возможны ошибки печати, сканирования или OCR.
• Физические угрозы: огонь, вода, грызуны, выцветание, механические повреждения.
• Конфиденциальность: любой, кто получит доступ к бумаге, получит ключи.
• Объём и удобство: большие файлы неудобно печатать и восстанавливать.

Когда метод не подойдёт: если ключи обновляются слишком часто, если объём данных слишком большой, или если бумажная копия будет находиться в ненадёжном месте (широкий доступ, открытые полки).

Подготовка окружения: установка зависимостей и Paperbackup

Paperbackup — Python-утилита, которая преобразует ASCII-кодированные данные в PDF с QR-кодами для печати и затем восстанавливает их. Как и большинство Python-инструментов, Paperbackup использует системные пакеты: PyX, enscript, qrencode, zbar и библиотеки Python (Pillow и hashlib).

Для RPM-систем (Red Hat, Fedora, CentOS и т.п.):

sudo yum install PyX enscript qrencode hashlib zbar
python3 -m pip install hashlib Pillow

Для APT-систем (Debian, Ubuntu, Linux Mint и т.п.):

sudo apt-get update && sudo apt-get install python3-pyx enscript python3-qrencode python3-zbar
python3 -m pip install hashlib Pillow

Советы:

• На Windows используйте WSL или Cygwin, либо запускайте Paperbackup в виртуальной машине.
• Убедитесь в целостности скачанного репозитория (проверяйте коммиты, по возможности подписанные теги).

Создание GnuPG ключа и экспорт для бумажной копии

1. Создайте ключ GnuPG:

gpg --gen-key

2. Посмотрите список секретных ключей и найдите ID ключа:

gpg --list-secret-keys --keyid-format=short your-email@example.com

3. Экспортируйте секретный ключ в ASCII-armour (файл myKey_sec.asc):

gpg --export-secret-keys --armor E3122E78 > myKey_sec.asc

4. Просмотрите содержимое файла:

cat myKey_sec.asc

Примечание: используйте реальный key ID, полученный на шаге 2. На Windows команды gpg работают аналогично в среде GnuPG для Windows.

Подготовка произвольного файла для печати (base64)

Если вы хотите заархивировать произвольный файл, удобно перевести его в base64 — это текстовый формат, пригодный для печати и кодирования в QR. Учтите, что base64 увеличивает объём примерно на 25%.

Пример:

1. Создайте тестовый файл:

echo "Hello! I am a text file." > ~/Desktop/test.txt
cat ~/Desktop/test.txt
# Output:
# Hello! I am a text file.

2. Кодирование в base64 с переносом строк через каждые 65 символов (подходит для Paperbackup):

base64 -w 65 test.txt > test_base64

3. Проверьте результат:

cat test_base64

После этого файл test_base64 готов для передачи в Paperbackup.

Создание PDF для печати с помощью Paperbackup

1. Склонируйте репозиторий Paperbackup:

git clone https://github.com/intra2net/paperbackup

2. Перейдите в папку проекта и запустите генерацию бумаги (PDF):

cd paperbackup
python3 paperbackup.py /путь/к/файлу/myKey_sec.asc

Можно передать любой файл, например test_base64. Утилита сгенерирует PDF с QR-кодами и дополнительными фильтрами для надёжного восстановления.

Обычно в рабочей директории появится PDF-файл, готовый к печати:

Размер и количество QR-блоков зависят от объёма данных. Чем больше данных — тем крупнее или больше QR-кодов.

Печать и условия хранения

Рекомендации по печати и хранению:

• Печать напрямую с USB-накопителя на принтере или по USB-подключению к компьютеру уменьшает риск перехвата по сети.
• Используйте тонер (лазерную печать) и безкислотную бумагу для долговечности.
• Не складывайте листы — храните их ровно, без сильной деформации, в конверте или водонепроницаемом пакете.
• Нанесите дату и краткие метаданные (какой ключ, версия) на конверт.
• Сделайте несколько копий и храните их в разных безопасных местах (например, сейф дома и банковская ячейка).
• При высоком уровне угроз рассмотрите шифрование ключа перед печатью (например, экспорт секретного ключа, затем шифрование симметричным паролем и печать зашифрованного файла).

Важно: не оставляйте бумагу в местах с высокой влажностью или на солнце.

Восстановление: сканирование и восстановление данных

1. Сканируйте страницу(ы) на максимально возможном разрешении, используйте чёрно-белый режим, если утилита поддерживает.
2. Перенесите полученный PDF в каталог с клонированным Paperbackup.
3. Запустите восстановление:

./paperrestore.sh /путь/к/скану/output.pdf > recovery_file

Утилита восстановит исходный ASCII-файл и сохранит его в файле с именем, которое вы укажете. После этого можно проверить целостность и импортировать ключ в GnuPG:

# Проверить содержимое
cat recovery_file
# Импортировать секретный ключ
gpg --import recovery_file
# Убедиться, что ключ на месте
gpg --list-secret-keys --keyid-format=short your-email@example.com

Runbook при потере доступа к ключу

1. Найдите физические копии и сканы.
2. Если есть скан — используйте paperrestore.sh в изолированном окружении.
3. Проверьте контрольную сумму и открытые данные (например, публичный ключ).
4. Импортируйте ключ и протестируйте дешифрование тестовой зашифрованной строки.
5. Если ключ восстановлен — немедленно создайте новую резервную копию и обновите процесс хранения.
6. Если ключ не подлежит восстановлению — аннулируйте утерянные ключи (через публикацию отзыва/revocation certificate) и создайте новый ключ.

Ключевые команды для проверки и отзыва:

# Создание сертификата отзыва заранее:
gpg --output revoke.asc --gen-revoke your-key-id
# Импорт отзыва в случае компрометации
gpg --import revoke.asc

Контрольные списки по ролям

Администратор:

• Убедиться, что установлены зависимости и Paperbackup актуален.
• Проводить тестовые восстановления раз в полгода.
• Хранить как минимум одну копию в банковской ячейке.

Пользователь:

• Создать секретный ключ и экспортировать его в ASCII.
• Подготовить печатную версию и сохранить в двух местах.
• Пометить дату и краткое описание на упаковке.

Архивариус / ответственный за хранение:

• Проверять состояние бумаги и герметичность упаковки.
• Обновлять материалы и при необходимости пересохранять на новую бумагу.

Альтернативы и комбинирование методов

• Аппаратные токены (YubiKey, смарт-карты): хранят ключи в отдельном устройстве; удобны для регулярной подписи.
• Шифрованные USB-носители: удобны, но требуют защиты паролем и безопасного хранения.
• Хранение в HSM/облачных HSM: подходит для организаций, но требует доверия провайдеру.
• Секретное разделение (Shamir Secret Sharing): разбивает ключ на части и распределяет их по различным хранителям.

Комбинируйте: например, держите аппаратный токен для ежедневного использования и бумажную резервную копию в банковской ячейке для аварийного восстановления.

Когда бумажная копия не работает или опасна

• Если у вас нет безопасного места для хранения бумажной копии.
• Если ключи часто меняются (высокая оборотность).
• Если вы работаете с большими объёмами данных — печатать неудобно и дорого.
• Если бумагу легко идентифицировать и привязать к владельцу — это повышает риск компрометации.

Критерии приёмки

Резервная копия считается успешной, если выполнены все пункты:

• PDF с QR-кодами успешно сгенерирован и распечатан.
• Сканирование и восстановление файла дают идентичный исход (проверено по содержимому или контролу Хеш).
• Бумага хранится в надёжном месте, задокументированном ответственным лицом.
• Создан и хранится сертификат отзыва на случай компрометации.

Безопасность и конфиденциальность

• Обращайтесь с бумажными копиями как с физическими секретами.
• Если требуется соответствие GDPR — хранение секретов должно быть документировано и доступ ограничен.
• Разработайте политику жизненного цикла: создание, тестирование восстановления, уничтожение старых копий.

Технические советы и хитрости

• Используйте контрастную печать (чёрный на белом) для облегчения считывания QR.
• Сканируйте страницы без сжатия и в чёрно-белом или градациях серого, избегайте фоновых текстур.
• Храните оригинальные PDF-файлы и хеши рядом с бумажными копиями, но отдельно.
• При высоком риске добавьте пароль на экспортированный ключ (symmetric encryption) и распечатывайте зашифрованную версию.

Краткий глоссарий

GnuPG — свободная реализация OpenPGP для шифрования и подписи.
Секретный ключ — приватная часть пары ключей; защищать обязательно.
Key ID — короткий идентификатор ключа.
base64 — текстовый способ кодирования бинарных данных.
QR-код — двумерный штрихкод для быстрого переноса данных.
Paperbackup — утилита для печати и восстановления данных с бумаги.

Итог

Бумажные резервные копии — это простой и устойчивый компонент стратегии защиты ключей. Они хорошо работают для небольших, но критичных артефактов: закрытых ключей, сертификатов, коротких конфигураций. При правильной подготовке, печати, хранении и регулярной проверке восстановления бумажная копия служит надёжной страховкой на случай цифровой катастрофы.

Важно: тестируйте процедуру восстановления заблаговременно. Планируйте, документируйте и обновляйте копии по расписанию.

Дополнительные ресурсы и ссылки: репозиторий Paperbackup (GitHub), документация GnuPG.