Хранение GnuPG/SSH ключей на бумаге

В этой статье подробно описано, зачем и как сохранять приватные ключи на бумаге с помощью инструмента Paperbackup, как подготовить ключи и файлы, как безопасно печатать и хранить бумажные копии, а также набор практических проверок, SOP, тестов приёмки и рекомендации по безопасности и конфиденциальности.

Введение: почему бумага — иногда лучшее решение

Асимметричные ключи RSA, используемые GnuPG и SSH, являются единственным способом получить доступ к определённым зашифрованным данным. Потеря приватного ключа часто делает доступ невозможным. Цифровые накопители ломаются, злоумышленники крадут носители, а облачные бэкапы могут скомпрометировать приватность. Бумажная копия — это оффлайн-резерв, доступный без электропитания и устойчивый к многим видам атак и сбоев.

Ключевые преимущества бумажных резервных копий:

• Длительное хранение при правильной печати и бумаге (тонер + безкислотная бумага).
• Невысокая стоимость для небольших объёмов (ключи занимают несколько страниц).
• Отсутствие электрических уязвимостей и сетевых векторов компрометации.

Важно: бумага не делает ключи «безопасными сама по себе». Нужно правильно генерировать, защищать и контролировать доступ к бумажным носителям.

Что вам нужно знать перед началом

Определения в одну строку:

• Приватный ключ — секретная часть пары ключей, позволяющая расшифровать данные или подписать сообщения.
• Экспорт в ASCII-формате (armour) — представление приватного ключа в виде текста, пригодного для печати.

Требования:

• Рабочая машина с GnuPG (gpg).
• Принтер (лучше лазерный с тонером) или возможность печати напрямую с USB на принтер.
• Программа Paperbackup и зависимости (см. раздел установки).
• Средства сканирования (сканер или качественная камера) для восстановления.

Установка зависимостей и Paperbackup

Paperbackup — это проект на Python, который преобразует ASCII-контент в удобную для печати форму (QR-коды, матрицы и текст), а затем восстанавливает данные через OCR/сканирование.

Примеры команд для установки зависимостей (на момент написания):

Для RPM-дистрибутивов (Red Hat/Fedora/CentOS):

sudo yum install PyX enscript qrencode hashlib zbar
python3 -m pip install hashlib Pillow

Для APT-дистрибутивов (Debian/Ubuntu/Mint):

sudo apt-get update && sudo apt-get install python3-pyx enscript python3-qrencode python3-zbar
python3 -m pip install hashlib Pillow

Затем клонируйте репозиторий Paperbackup и перейдите в директорию проекта:

git clone https://github.com/intra2net/paperbackup
cd paperbackup

Запуск конвертации файла в PDF описан ниже.

Генерация и экспорт GnuPG ключа для печати

1. Сгенерируйте ключ:

gpg --gen-key

2. После создания ключа получите идентификатор ключа (KEY ID):

gpg --list-secret-keys --keyid-format=short your-email@example.com

В выводе будет строка с шестнадцатеричным идентификатором — это KEY ID (например, E3122E78). Запомните или запишите его.

3. Экспортируйте приватный ключ в ASCII-armour:

gpg --export-secret-keys --armor E3122E78 > myKey_sec.asc

4. Проверьте содержимое файла:

cat myKey_sec.asc

Вы увидите блоки типа “—–BEGIN PGP PRIVATE KEY BLOCK—–“ и длинную текстовую массу — именно её мы будем печатать/кодировать.

Примечание: то же можно сделать для любого файла, который вы хотите сохранить (см. base64 ниже).

Подготовка произвольного файла (base64)

Если вы хотите сохранить произвольный бинарный файл или текстовый файл, сначала преобразуйте его в base64 — это упростит перенос через текстовые QR/матрицы и OCR.

Пример:

Создадим файл test.txt:

cat > ~/Desktop/test.txt <<'EOF'
Hello! I am a text file.
EOF

Кодирование в base64 (при этом размер вырастет примерно на 25%):

base64 -w 65 test.txt > test_base64

Проверка:

cat test_base64

Теперь файл готов к подаче в Paperbackup.

Создание PDF для печати через Paperbackup

Запустите конвертацию, указав директорию или файл для резервного копирования:

python3 paperbackup.py /path/to/myKey_sec.asc

Или для папки с несколькими файлами:

python3 paperbackup.py /path/to/directory_with_files

В результате в текущей директории появится PDF-файл с QR-кодами/матрицами и сопутствующим текстом, готовый к печати.

Пример итогового PDF-страницы с QR-кодами и текстом для восстановления:

Размер QR-кодов и плотность токена кодирования зависят от объёма данных и выбранного уровня коррекции ошибок.

Печать и условия хранения

Рекомендации по печати и материалам:

• Отдавайте предпочтение лазерной печати с тонером. Тонер меньше подвержен выцветанию при хранении, чем чернила струйных принтеров.
• Используйте безкислотную (archival) бумагу и при возможности плотность 80–120 г/м².
• Не сгибайте листы, храните в плоском виде в конвертах или папках.
• По возможности поместите листы в водонепроницаемую упаковку (гермоупаковка, Zip-пакет, ламинирование — ламинирование меняет поверхность и может усложнить сканирование, поэтому используйте только при необходимости).
• Храните в прохладном, сухом, затемнённом месте. Бумага уязвима к плесени при высокой влажности.

Печать с USB-накопителя напрямую на принтере уменьшает этап передачи по сети и снижает риск компрометации.

Как восстановить данные из бумажного бэкапа

1. Сканируйте листы в высоком разрешении (минимум 300–600 DPI, лучше 600–1200 DPI для мелких QR/матриц).
2. Поместите полученные PDF-файлы в каталог проекта Paperbackup.
3. Выполните команду восстановления:

./paperrestore.sh /path/to/scanned.pdf > recovery_file

4. Проверьте контрольную сумму/хэш восстановленного файла по справочному значению (если вы заранее сохранили хеш).

Ограничения и когда метод не работает

• Физическое повреждение: огонь, сильная влага, химические воздействия и механическое растирание могут разрушить бумагу или привести к невозможности сканирования.
• Ошибки OCR/сканирования: плохое качество сканов делает восстановление невозможным. QR/матрицы повышают шансы, но при высоком уровне коррекции ошибок файл может занять слишком много места и потребовать десятков страниц.
• Человеческая ошибка: неправильная маркировка, потеря конверта, смешение версий. Отсутствие чёткой политики версионирования ведёт к путанице.
• Юридические и организационные ограничения: в корпоративной среде хранение приватных ключей на бумаге может противоречить политике безопасности.

Альтернативные подходы

• Зашифрованные USB-накопители с аппаратным шифрованием (например, аппаратные токены, FIPS-совместимые носители).
• Холодное хранение на air-gapped (изолированной) машине и на нескольких географически распределённых носителях.
• Shamir’s Secret Sharing: разделение приватного ключа на несколько частей, которые нужно собрать для восстановления (полезно для совместных владений или корпоративных распределённых хранений).
• Аппаратные криптографические токены (YubiKey, OpenPGP-совместимые устройства): ключи хранятся в токене и не экспортируются.

Каждый подход имеет компромиссы по удобству, стоимости и уровню защиты.

Рекомендации по безопасности (жёсткая защита)

• Минимизируйте количество копий: держите ровно столько копий, сколько необходимо.
• Разделение обязанностей: храните разные копии у разных ответственных лиц, если это критично для бизнеса.
• Контроль доступа: используйте запирающиеся сейфы или банковские ячейки для хранения особенно важных ключей.
• Шифрование на исходной стороне: перед экспортом в ASCII рассмотрите дополнительное шифрование экспорта паролем, а затем храните пароль отдельно (например, в менеджере паролей с MFA).
• Дата и подпись: проставляйте на бумаге дату создания и цифровую подпись контрольной суммы (например, SHA256), чтобы можно было проверить целостность при восстановлении.

Конфиденциальность и соответствие (GDPR и похожие регуляции)

• Если бумажный бэкап содержит персональные данные (имена, email, ключи, привязанные к идентификаторам), соблюдайте требования локального законодательства и GDPR: ограничьте доступ, ведите учёт владения копиями, удаляйте устаревшие бэкапы.
• При хранении в корпоративной среде документируйте процедуры доступа и уничтожения бумажных копий.
• Уничтожение: используйте промышленные шредеры и/или термическое уничтожение для окончательного удаления бумажных копий.

Роль‑ориентированные контрольные списки

Для домашнего пользователя:

• Сгенерировать ключ локально на надёжной машине.
• Экспортировать приватный ключ в myKey_sec.asc.
• Создать PDF через paperbackup.py.
• Распечатать напрямую с USB на принтер или через защищённую локальную сеть.
• Поместить в водонепроницаемый пакет и подписать датой.
• Создать одну резервную копию в другом месте (другой дом/сейф).

Для системного администратора / малого бизнеса:

• Использовать аппаратные HSM или токены для основных ключей.
• Для резервов применять Shamir SSS для распределения частей.
• Вести журнал всех бумажных копий (где, кто, дата).
• Хранить копии в двух географически разнесённых защищённых точках.

Для ответственного по безопасности организации:

• Утвердить политику жизненного цикла ключей и бумажных копий.
• Проводить регулярные тесты восстановления (каждые 6–12 месяцев).
• Контролировать уничтожение устаревших копий и вести запись об уничтожении.

Пошаговый SOP для создания бумажного резервного копирования (короткая методика)

1. Подготовка окружения: отключите сеть на машине, где генерируете/экспортируете ключи.
2. Сгенерируйте ключ локально (gpg –gen-key).
3. Экспортируйте приватный ключ в ASCII (gpg –export-secret-keys –armor ID > myKey_sec.asc).
4. (Опционально) Зашифруйте файл паролем с помощью симметричного шифрования gpg.
5. Запустите paperbackup.py для создания PDF.
6. Перед печатью проверьте PDF в оффлайне на другой машине (без выхода в интернет).
7. Печатайте напрямую с USB или с локального компьютера, избегая сетевой печати.
8. Подпишите и датируйте конверт, поместите в герметичную упаковку.
9. Занесите запись в реестр бэкапов: файл, дата печати, владелец, место хранения.
10. Выполните тест восстановления из скана и убедитесь в целостности.

Критерии приёмки (как проверить, что резерв рабочий)

• Восстановленный файл идентичен оригиналу (проверка контрольной суммы SHA256).
• Процесс восстановления проходил без ошибок при стандартных сканах (600 DPI).
• Документ читаем и QR сканируется в 80%+ случаев одним пробным сканом.
• Хранение зафиксировано в реестре с указанием места и ответственных лиц.

Тестовые сценарии и критерии приёмки

1. Полный цикл:
   • Генерация ключа -> экспорт -> paperbackup -> печать -> сканирование -> paperrestore. Результат: восстановленный файл идентичен по хэшу.
2. Повреждённый лист:
   • Смять 10% площади листа и попробовать восстановить. Результат: восстановление возможно (если использовался уровень коррекции ошибок).
3. Различные DPI:
   • Сканирование при 300, 600, 1200 DPI. Оценить успешность OCR/QR распознавания.
4. Ламинирование:
   • Ламинированный лист vs. неламинированный — проверить различия при сканировании.

Шаблон реестра бумажных резервных копий (пример)

(Вставьте таблицу в корпоративное хранилище/печатный журнал.)

Глоссарий в одну строку

• ASCII-armour: текстовое представление бинарного ключа PGP, пригодное для печати и передачи в текстовых средах.
• QR-код: двумерный штрихкод, удобный для сканирования и передачи данных.
• OCR: оптическое распознавание символов, метод извлечения текста из изображения.
• Shamir SSS: схема разделения секрета на N частей, где нужно собрать минимум K для восстановления.

Практические советы и хитрости

• Делайте проверочный цикл восстановления сразу после печати — это снизит риск сюрпризов при реальном инциденте.
• Храните хэш (SHA256) оригинального файла в двух отдельных местах (электронный менеджер паролей и бумажная заметка в безопасном сейфе).
• Если печатаете много страниц, нумеруйте их и проставляйте отметку «page X of Y». Это существенно упрощает сканирование и восстановление.
• Для корпоративных ключей используйте сочетание бумажных частей по Шамира + аппаратные модули для оперативной работы.

Когда стоит отказаться от бумажного метода

• Когда требуется мгновенный доступ для множества частых операций (используйте токены/HSM).
• В среде с высокой юридической ответственностью, где бумажные копии могут быть потеряны или использованы неавторизованно.
• Если объём данных слишком велик и приведёт к сотням листов — в таких случаях бумага становится неэффективной.

Итог и рекомендации

Бумажное резервное копирование приватных ключей — это простой, дешёвый и надёжный способ сохранить доступ к критическим данным при условии, что вы подготовите процесс и инфраструктуру хранения. Подойдите к задаче как к управлению ценным активом: документируйте операции, тестируйте восстановление, применяйте физическую защиту и комбинируйте метод с другими стратегиями резервирования для повышения отказоустойчивости.

Важно: бумага — это инструмент в наборе мер безопасности. Сочетайте бумажные копии с аппаратными токенами, шифрованием и политиками контроля доступа для создания зрелой и надёжной практики управления ключами.

В следующих шагах: выполните пробный цикл (генерация -> экспорт -> paperbackup -> печать -> сканирование -> восстановление) и зафиксируйте результат в реестре. Это самая надёжная проверка вашего процесса.