1. GnuPG入门从安装到密钥生成第一次接触GnuPG时我完全被那些命令行参数搞懵了。直到有一次需要给客户发送敏感文件才发现这个开源工具简直是安全通信的瑞士军刀。GnuPGGNU Privacy Guard是PGP加密标准的开源实现它能帮你完成文件加密、数字签名等安全操作而且完全免费。在Mac上安装GnuPG最简单的方式是使用Homebrewbrew install gnupgLinux用户则可以用apt-getsudo apt-get install gnupg安装完成后建议先运行gpg --version检查是否安装成功。这个命令会显示版本信息和支持的加密算法我第一次运行时看到满屏的算法列表才意识到原来有这么多加密方式可选。生成密钥是使用GnuPG的第一步这里我强烈推荐使用完整模式gpg --full-generate-key系统会引导你完成以下设置密钥类型默认RSA就很好密钥长度3072位足够安全过期时间建议设置1-2年用户信息姓名和邮箱要真实记得我第一次生成密钥时在设置密码环节栽了跟头。GnuPG会弹出一个密码输入窗口在Mac上是Pinentry这个密码千万不能忘我有次重装系统后因为忘记密码导致所有加密文件都无法解密血的教训啊。2. 密钥管理实战技巧2.1 查看和管理密钥生成密钥后我习惯先用这两个命令检查密钥环gpg --list-keys # 查看公钥 gpg --list-secret-keys # 查看私钥输出看起来可能有点复杂但主要关注这几个部分pub公钥信息sub子密钥uid用户标识那串40位的字符是密钥指纹相当于密钥的身份证号2.2 密钥的备份与共享有次我的硬盘突然损坏幸亏提前备份了密钥。导出密钥的命令是gpg --armor --export [密钥ID] public.key # 导出公钥 gpg --armor --export-secret-keys [密钥ID] private.key # 导出私钥导入别人的公钥也很简单gpg --import colleague.key这里有个实用技巧导入密钥后最好先签名验证gpg --sign-key [对方密钥ID]这样能建立信任链避免中间人攻击。2.3 密钥的撤销与更新密钥万一泄露怎么办GnuPG允许生成撤销证书gpg --gen-revoke [你的密钥ID] revoke.asc我习惯把撤销证书打印出来锁在保险柜数字世界也需要物理备份。更新过期密钥可以用gpg --quick-set-expire [密钥ID] 1y3. 文件加密解密全攻略3.1 基础加密操作加密文件其实很简单我常用的命令格式是gpg --encrypt --recipient [接收者邮箱] --output 加密文件 原始文件比如要给同事Alice发送机密文档gpg -e -r alicecompany.com -o proposal.pdf.gpg proposal.pdf解密更简单直接gpg 加密文件.gpg系统会自动识别该用哪个私钥解密。3.2 对称加密技巧有时候不需要非对称加密GnuPG也支持对称加密只用密码gpg -c secret.txt会提示输入密码解密时同样需要这个密码。3.3 批量加密实践我有次需要加密整个项目目录用这个shell脚本搞定find ./project -type f -exec gpg -e -r teamcompany.com {} \;4. 数字签名与验证4.1 三种签名方式GnuPG提供三种签名模式我根据场景灵活选择普通签名生成二进制.gpg文件gpg -s contract.docx明文签名生成可读的.asc文件gpg --clearsign README.md分离签名适合大文件gpg --detach-sign video.mp44.2 签名验证实战验证签名用这个命令gpg --verify signature.sig original_file有次收到供应商发来的报价单验证签名时发现不匹配后来发现是对方密钥被篡改了幸亏GnuPG帮我发现了这个安全问题。4.3 加密签名组合拳最安全的做法是既加密又签名gpg -e -s -r recipientdomain.com -u youremail.com file.txt这个命令同时完成了用接收者的公钥加密用自己的私钥签名5. 高级应用场景5.1 配置文件优化在~/.gnupg/gpg.conf中添加这些配置能提升体验personal-cipher-preferences AES256 personal-digest-preferences SHA512 default-key YOUR_KEY_ID5.2 密钥服务器使用发布公钥到keyservergpg --send-keys [密钥ID]查找他人公钥gpg --search-keys Alice5.3 自动化脚本集成我在CI/CD流程中用GnuPG自动签名发布包#!/bin/bash gpg --batch --pinentry-mode loopback --passphrase $GPG_PASS \ --output build.sig --detach-sign build.tar6. 安全最佳实践主密钥最好离线保存日常使用子密钥定期更换子密钥每年一次不要在多个设备使用同一私钥智能卡或YubiKey存储密钥更安全备份时使用纸质密钥paperkey工具记得有次出差急需解密文件幸亏提前把子密钥导入到了手机上的OpenKeychain应用。GnuPG的灵活组合能适应各种复杂场景关键是理解其工作原理。刚开始可能会觉得复杂但就像学骑自行车一旦掌握就再也忘不掉了。