# Руководство пользователя &kleopatra;

## Введение

&kleopatra; — утилита &kde; для работы с сертификатами &x509; и &openpgp; в контейнерах ключей &gpgsm; и &gpg;, а также для получения сертификатов с серверов &ldap; и других серверов сертификатов.

&kleopatra; можно запустить с помощью меню Сервис Управление сертификатами программы &kmail; и из командной строки. Исполняемый файл утилиты &kleopatra; называется ``kleopatra``.

Программа названа в честь Клеопатры, знаменитой египетской правительницы, жившей во времена Юлия Цезаря (от него у Клеопатры родился сын, Цезарион, который не был признан наследником Цезаря).

Такое название было принято благодаря связи с проектом Ägypten Projects (в немецком языке слова Египет и Клеопатра пишутся как Ägypten и Kleopatra).

## Основные функции

### Просмотр локального контейнера ключей

С помощью &kleopatra; пользователь может просматривать и изменять содержимое локальных контейнеров ключей. Контейнер ключей по своей сути напоминает связку ключей &gpg;, но их не следует отождествлять.

Главное окно состоит из списка ключей, меню, панель поиска (вверху) и строку состояния (внизу).

Каждый пункт списка ключей соответствует одному сертификату. Сертификаты различаются по так называемому отличительному имени субъекта (в англ. &dn; — Distinguished Name) — иерархический идентификатор, по сути похожий на путь в файловой системе. Считается, что он однозначно определяет сертификат.

Действительными (и, следовательно, допустимыми к использованию) считаются только те открытые ключи, которые были подписаны центром сертификации (&ca; — Certification Authority). Такие подписи называются сертификатами, но обычно термины сертификат и (открытый) ключ взаимозаменяемы, поэтому в этом руководстве (за исключением отдельно оговоренных случаев) эти термины различаться не будут.

Сертификат центра, в свою очередь, должен быть подписан другим центром. Эта цепочка заканчивается на так называемых центрах сертификации верхнего уровня (корневых центрах), ключи которых подписаны самим центром — владельцем ключа. Корневые сертификаты проверяются вручную, путём сравнения реального отпечатка сертификата с указанным на веб-сайте центра сертификации. Обычно проверку выполняет администратор или производитель продукта, использующего сертификат, но пользователь также может осуществить её (с помощью программы &gpgsm;).

Чтобы узнать, какие из сертификатов являются корневыми, следует перейти в режим просмотра дерева ключей (view-hierarchical-key-list).

Чтобы просмотреть информацию о сертификате, дважды щёлкните по нему или воспользуйтесь пунктом меню view-certificate-details. При этом будет открыто окно, содержащее основные данные о сертификате, цепочку сертификатов (то есть последовательность издателей сертификатов вплоть до корневого) и все остальные сведения, которые вспомогательной программе удалось извлечь из сертификата.

Если контейнер был изменен вне &kleopatra; (например, с помощью программы &gpgsm;), вы можете обновить сведения с помощью пункта меню view-redisplay.

### Поиск и импорт сертификатов

Как правило, получение новых сертификатов выполняется при проверке подписей электронных писем (поскольку эти сертификаты обычно встроены в подписи, которые создаются с их помощью). Но если требуется отправить письмо человеку, с которым ещё не велась переписка, будет необходимо получить сертификат с сервера &ldap; (хотя &gpgsm; может сделать это автоматически) или из файла. После получения ответа центра сертификации на ваш запрос вам также будет необходимо импортировать свой сертификат.

Чтобы выполнить поиск сертификата в каталоге &ldap;, выберите пункт меню Файл Поиск на сервере… и введите текст (например, имя человека, сертификат которого следует найти) в поле диалогового окна Поиск на сервере, а затем нажмите кнопку Поиск. Результаты будут показаны в списке ключей под панелью поиска. Чтобы просмотреть сертификат, выберите его в списке и нажмите кнопку Подробности…. Кнопка Импорт позволяет загрузить сертификаты в локальный контейнер ключей.

Список серверов &ldap;, на которых будет осуществляться поиск, возможно изменить на странице Службы каталогов окна настройки &kleopatra;.

Если полученный сертификат находится в файле, воспользуйтесь пунктом меню file-import-certificates. Формат файла должен поддерживаться &gpgsm; (список поддерживаемых файлов есть в руководстве &gpgsm;).

Если вы не создали пару ключей с помощью &gpgsm;, вам следует вручную импортировать открытый ключ (как и закрытый) из файла PKCS#12, полученного от центра сертификации. Для этого выполните в командной строке команду ``kleopatra `--import-certificate` `название_файла``` или воспользуйтесь пунктом меню &kleopatra; file-import-certificates, совсем как при работе с обычными сертификатами.

### Создание пар ключей

При выборе пункта меню file-new-key-pair запускается мастер создания пары ключей, который поможет создать запрос сертификата.

После завершения работы со страницей мастера нажмите кнопку Далее для перехода к следующему этапу. Чтобы изменить уже указанные параметры, нажмите кнопку Назад. Кнопка Отмена позволяет в любой момент прервать процесс создания запроса сертификата.

На первой странице мастера следует выбрать тип создаваемого сертификата:

Создать личную пару ключей OpenPGP

- Пары ключей &openpgp; создаются локально и заверяются вашими друзьями и знакомыми. Центрального гаранта сертификации нет; вместо этого каждый человек создаёт личную сеть доверия, заверяя пары ключей других пользователей своим собственным сертификатом.

  Необходимо ввести Имя, Адрес эл. почты и (необязательно) Комментарий.

Создать личную пару ключей X.509 и запрос сертификации

- Пары ключей &x509; создаются локально, но централизованно заверяются центром сертификации (&ca;). Центры сертификации могут предоставлять сертификаты другим центрам сертификации. Таким образом создаётся центральная иерархическая цепочка доверия.

  Следующая страница мастера позволяет ввести личные данные, используемые при создании сертификата. Доступны следующие поля:

  - Общее имя (CN) — ваше имя.

  - Адрес эл. почты (EMAIL) — ваш адрес электронной почты. Убедитесь, что вы ввели его правильно — сертификат будет использоваться только для указанного адреса.

  - Расположение (L) — город или страна, в которой вы проживаете.

  - Отдел (OU) — отдел в организации, в котором вы работаете (например, «Логистика»).

  - Организация (O) — организация, которую вы представляете (например, компания, в которой вы работаете).

  - Код страны (C) — двухбуквенный код страны, в которой вы проживаете (например, «RU»).

  С помощью следующей страницы можно выбрать, будет ли сертификат сохранён в файле или отправлен в центр сертификации. Вам понадобится указать соответственно имя файла или адрес электронной почты, на который будет отправлен запрос сертификата.

#### Отзыв ключа

Срок действия пары ключей возможно продлить, если пользователь имеет доступ к закрытому ключу и паролю. Чтобы сделать ключ непригодным к использованию, необходимо отозвать его. Отзыв осуществляется путём добавления специальной подписи отзыва к ключу.

Подпись отзыва хранится в отдельном файле. Этот файл позже возможно импортировать в набор ключей и затем прикрепить к ключу, сделав его непригодным для использования. Для прикрепления подписи к ключу пароль не требуется, поэтому подпись следует держать в безопасном месте, желательно не там, где расположена пара ключей. Лучше всего — не на компьютере, а на внешнем съёмном носителе, например на USB-накопителе. Также возможно сделать распечатку подписи.

В &kleopatra; не предусмотрена функциональная возможность создания такой подписи отзыва в любой момент времени, но это можно сделать с помощью приложения &kde; &kgpg;: выберите пункт меню Ключи Отозвать ключ и, если требуется, сразу же импортируйте подпись отзыва в свой набор ключей.

Альтернативный способ создания сертификата отзыва заключается в использовании &gpg; непосредственно из командной строки: `gpg --output `сертификат_отзыва`.asc --gen-revoke `ваш_ключ``. Аргументом `ваш_ключ` должен быть спецификатор ключа (это либо идентификатор вашей основной пары ключей, либо любая часть идентификатора пользователя, которая идентифицирует вашу пару ключей).

## Справочник команд

### Меню «Файл»

&Ctrl;N Файл Создать новую пару ключей...

- Создаёт новую пару ключей (открытый и закрытый) и позволяет отправить открытый ключ в центр сертификации (&ca;) на подпись. После подписания сертификат отправляется вам или сохраняется на сервере &ldap;. Вы можете импортировать его с сервера и использовать для подписи и расшифровки почтовых сообщений.

  Эта последовательность действий называется децентрализованным созданием ключей, так как все ключи создаются локально. &kleopatra; (как и &gpgsm;) не предоставляют возможность централизованного создания ключей, но возможно импортировать пары ключей, полученные от центра сертификации в формате PKCS#12 (пункт меню file-import-certificates).

&Ctrl;&Shift;I Файл Поиск на сервере...

- Выполняет поиск и импорт сертификатов с серверов сертификатов в локальный контейнер ключей. Подробнее: functions-search.

  Для работы этой возможности необходимо настроить серверы ключей. Дополнительные сведения: configuration-directory-services.

&Ctrl;I Файл Импорт...

- Выполняет импорт сертификатов и/или закрытых ключей из файлов в локальный контейнер ключей. Подробнее: functions-search.

  Формат файла сертификатов должен поддерживаться &gpgsm;/&gpg;. Поддерживаемые форматы перечислены в руководствах &gpgsm; и &gpg;.

&Ctrl;E Файл Экспорт...

- Экспортирует выбранные сертификаты в файл.

  Выбранный суффикс названия экспортируемого файла определяет формат экспортируемых данных:

  - В случае сертификатов &openpgp; выбор `gpg` или `pgp` приведёт к сохранению бинарного файла, а выбор `asc` — шифрованного файла &ascii;.

  - В случае сертификатов &smime; выбор `der` приведёт к сохранению бинарного файла в кодировке &der;, а выбор `pem` — шифрованного файла &ascii;.

  Если не было выбрано несколько сертификатов, &kleopatra; предложит использовать ``отпечаток`.{asc,pem}` в качестве имени экспортируемого файла.

  Эта возможность доступна только при выборе одного или нескольких сертификатов.

  Эта возможность выполняет экспорт только открытых ключей, даже если доступен закрытый ключ. Воспользуйтесь пунктом меню file-export-secret-key для экспорта закрытых ключей в файл.

Файл Экспорт закрытых ключей...

- Экспортирует закрытый ключ в файл.

  В открывшемся диалоге возможно выбрать, следует ли создать бинарный файл или шифрованный файл &ascii; (защита ASCII). Затем щёлкните по значку папки справа от текстового поля Выходной файл и выберите папку и имя экспортируемого файла. При экспорте закрытых ключей &smime; также можно выбрать Кодировку пароля. Дополнительные сведения доступны в описании параметра `--p12-charset `кодировка`` в руководстве по &gpgsm;.

  Эта возможность доступна только тогда, когда выбран один сертификат и доступен его закрытый ключ.

  Эту функцию следует использовать только в случае крайней необходимости. При этом следует выбрать надёжное средство передачи ключей и способ удаления ключей без возможности восстановления как с исходного компьютера, как и с устройства, использованного при перемещении ключей.

&Ctrl;&Shift;E Файл Опубликовать на сервере ключей...

- Публикует выбранные сертификаты на сервере ключей (только для &openpgp;).

  Сертификат отправляется на сервер сертификатов, настроенный для &openpgp; (см. configuration-directory-services), в ином случае — на сервер `keys.gnupg.net`.

  Эта возможность доступна только в том случае, если выбран по крайней мере один сертификат &openpgp; (и ни одного сертификата &smime;).

  После экспорта сертификатов &openpgp; на общедоступный сервер каталогов будет почти невозможно извлечь их оттуда. Перед экспортом своего сертификата на общедоступный сервер обязательно убедитесь, что был создан сертификат отзыва, который позволит позже отозвать этот сертификат в случае необходимости.

  Большинство общедоступных серверов сертификатов &openpgp; синхронизируют сертификаты друг с другом, поэтому не имеет смысла отправлять сертификат сразу на несколько серверов.

  Иногда поиск на сервере сертификатов может не вернуть никаких результатов сразу после отправки сертификата на сервер. Причиной является то, что для большинства адресов общедоступных серверов ключей используется циклический перебор DNS с целью распределения нагрузки на несколько компьютеров. Компьютеры синхронизируют данные между собой, но интервал между синхронизациями может составлять около 24 часов.

Файл Расшифровать и проверить...

- Расшифровывает файлы и/или проверяет их подписи.

Файл Подписать/зашифровать...

- Подписывает и/или зашифровывает файлы.

&Ctrl;W Файл Закрыть

- Закрывает главное окно &kleopatra;. Его возможно в любой момент восстановить с помощью значка в системном лотке.

&Ctrl;Q Файл Выход

- Выход из &kleopatra;.

### Меню «Вид»

F5 Вид Обновить

- Обновляет список сертификатов.

  Использование этой возможности обычно не требуется, так как &kleopatra; отслеживает изменения в файловой системе и при необходимости автоматически обновляет список сертификатов.

&Esc; Вид Остановить

- Останавливает (отменяет) все действия, выполняющиеся в данный момент (например, поиск, построение списка или загрузку файлов).

  Эта возможность доступна только тогда, когда выполняется по крайней мере одно действие.

  Из-за ограничений вспомогательной программы действия иногда могут зависать таким образом, что эта возможность не позволяет отменить их сразу или в принципе.

  В таких случаях потребуется выполнять аварийное завершение процессов &scdaemon;, &dirmngr;, &gpgsm; и &gpg; (именно в таком порядке) с помощью инструментов операционной системы (`top`, диспетчер задач и так далее), пока действие не будет разблокировано.

Вид Подробности

- Отображает сведения о выбранном сертификате.

  Эта возможность доступна только тогда, когда выбран один сертификат.

  Это же происходит при двойном щелчке по требуемому сертификату в списке.

Вид Иерархический список сертификатов

- Позволяет перейти от просмотра сертификатов в виде дерева к обычному просмотру и обратно.

  При иерархическом просмотре сертификаты упорядочены по владельцу/получателю. При этом проще выяснить, к какой цепочке принадлежит сертификат, но труднее найти требуемый сертификат (для этого, конечно, можно использовать панель поиска).

  В режиме обычного просмотра сертификаты упорядочены по алфавиту. Проще найти требуемый сертификат, труднее выяснить, какой корневой сертификат ему соответствует.

  Эта возможность позволяет переключать режим просмотра между иерархическим и обычным на отдельной вкладке. Она предоставляется для того, чтобы можно было использовать оба режима, как обычный, так и иерархический, каждый на своей вкладке.

  Режим просмотра в виде дерева в настоящее время реализован только для сертификатов &smime;. Среди разработчиков имеются разногласия по вопросу корректного способа показа иерархической структуры сертификатов &openpgp; (по сути: родительский элемент = автор подписи или родительский элемент = получатель подписи).

&Ctrl;. Вид Развернуть все

- Разворачивает все ветви дерева сертификатов, то есть делает все сертификаты доступными.

  Этот режим используется при просмотре иерархического списка ключей по умолчанию.

  Разумеется, пользователь может самостоятельно раскрывать и сворачивать пункты списка.

  Эта возможность доступна только тогда, когда параметр view-hierarchical-key-list включён.

&Ctrl;, Вид Свернуть все

- Сворачивает все ветви дерева сертификатов, то есть отображаются только корневые сертификаты.

  Разумеется, пользователь может самостоятельно раскрывать и сворачивать пункты списка.

  Эта возможность доступна только тогда, когда параметр view-hierarchical-key-list включён.

### Меню «Сертификаты»

Сертификаты Изменить уровень доверия...

- Изменяет уровень доверия владельцу выбранного сертификата &openpgp;.

  Эта возможность доступна только тогда, когда выбран один сертификат &openpgp;.

Сертификаты Добавить корневой сертификат в доверенные

- Помечает этот корневой сертификат (&smime;) как доверенный.

  В определённой степени это эквивалент certificates-change-owner-trust для корневых сертификатов &smime;. Но выбор ограничивается следующими условиями &openpgp;: абсолютное доверие и никогда не доверять.

  Во время импорта корневого сертификата вспомогательная программа (в рассматриваемом случае — &gpgagent;) спросит, следует ли ему доверять. Но эта возможность должна быть явным образом включена в конфигурации вспомогательной программы (либо `allow-mark-trusted` в `gpg-agent.conf`, либо Система GnuPG Агент GPG Разрешить клиентам помечать ключи как «доверенные» или Проверка S/MIME Разрешить помечать корневые сертификаты как доверенные в configuration).

  Включение этой возможности во вспомогательной программе может привести к появлению всплывающих окон &pinentry; в неподходящее время (например, при проверке подписей), что помешает автоматической обработке почты. Поэтому (а также по причине того, что желательно иметь возможность отменить доверие доверенному корневому сертификату) &kleopatra; позволяет настраивать уровень доверия вручную.

  Из-за того, что вспомогательная программа не поддерживает такую возможность, &kleopatra; приходится работать напрямую с базой данных доверенных сертификатов &gpgsm; (`trustlist.txt`). При использовании этой возможности следует убедиться, что не выполняются какие-либо другие криптографические действия, которые могут помешать &kleopatra; внести изменения в эту базу данных.

  Эта возможность доступна только тогда, когда выбран один корневой сертификат &smime;, который ещё не является доверенным.

  Воспользуйтесь пунктом меню certificates-distrust-root для отмены действия этой возможности.

Сертификаты Удалить корневой сертификат из доверенных

- Помечает этот корневой сертификат (&smime;) как недоверенный.

  Эта возможность доступна только тогда, когда выбран один корневой сертификат &smime;, который в настоящее время является доверенным.

  Предназначено для отмены действия пункта меню certificates-trust-root.

Сертификаты Заверить...

- Позволяет заверить ещё один сертификат &openpgp;.

  Эта возможность доступна только тогда, когда выбран один сертификат &openpgp;.

Сертификаты Изменить срок действия...

- Позволяет изменить срок действия сертификата &openpgp;.

  Используйте эту возможность для продления срока действия сертификатов &openpgp;, чтобы не создавать новые или не устанавливать неограниченный срок действия.

  Эта возможность доступна только тогда, когда выбран один сертификат &openpgp; и доступен его закрытый ключ.

Сертификаты Изменить пароль...

- Позволяет изменить пароль закрытого ключа.

  Эта возможность доступна только тогда, когда выбран один сертификат и доступен его закрытый ключ. Для работы этой возможности требуется самая свежая версия вспомогательной программы, поскольку реализация изменилась с непосредственного вызова &gpg; и &gpgsm; на работу с &gpgme;.

  Из соображений безопасности &pinentry; предложит ввести старый и новый пароль. В зависимости от программной платформы, на которой запущена программа, и качества реализации &pinentry; на этой платформе, окно &pinentry; может быть открыто в фоновом режиме. Следовательно, если после использования этого пункта меню ничего не произошло, следует поискать на панели задач операционной системы пункт окна &pinentry;, открытого в фоновом режиме.

Сертификаты Добавить идентификатор пользователя...

- Позволяет добавить новый идентификатор пользователя к сертификату &openpgp;.

  Воспользуйтесь этим пунктом меню для добавления новых идентификаторов к существующему сертификату, чтобы не создавать новую пару ключей. Идентификатор пользователя &openpgp; имеет следующий вид:

      Настоящее имя (Комментарий) <Адрес эл. почты>

  В диалоговом окне, которое появляется при использовании этой возможности, &kleopatra; предложит указать значение каждого из трёх параметров (`Настоящее имя`, `Комментарий` и `Адрес эл. почты`) и отобразит результат в области предварительного просмотра.

  Эти параметры подлежат тем же самым административным ограничениям, что и новые сертификаты. Подробнее: functions-newkey и admin-certificate-request-wizard.

  Эта возможность доступна только тогда, когда выбран один сертификат &openpgp; и доступен его закрытый ключ.

Del Сертификаты Удалить

- Удаляет выбранные сертификаты из локальной связки ключей.

  Эта возможность позволяет удалять из локального контейнера ключей неиспользуемые ключи. Тем не менее, поскольку сертификаты обычно прилагаются к подписанным сообщениям электронной почты, при проверке подлинности письма только что удалённый сертификат может вновь появиться в локальном контейнере. Поэтому рекомендуется не использовать эту возможность без крайней необходимости. Если вы чувствуете, что запутались в ключах, используйте панель поиска или функцию view-hierarchical-key-list. Они помогут управлять большим количеством сертификатов.

  Из приведённого выше правила имеется одно исключение: при удалении своего собственного сертификата будет удалён и его закрытый ключ. Следовательно, прошлую переписку, зашифрованную с помощью этого сертификата, будет возможно прочесть только в том случае, если где-то имеется его резервная копия.

  &kleopatra; отобразит предупреждение при попытке удаления закрытого ключа.

  Так как сертификаты &smime; имеют иерархическую природу, при удалении сертификата издателя &smime; (сертификата &ca;) также удаляются и все подчинённые сертификаты.

  Это похоже на работу файловой системы: при удалении папки также удаляются все содержащиеся в ней файлы и папки.

  Естественно, эта возможность доступна только при выборе по крайней мере одного сертификата.

Сертификаты Подробности

- Отображает все сведения о выбранном сертификате (&smime;), которыми располагает &gpgsm;.

  Чтобы узнать больше о выводимых данных, смотрите описание опции `--dump-key `ключ`` в руководстве по &gpgsm;.

### Меню «Сервис»

Сервис Просмотр журнала GnuPG

- Запускает &kwatchgnupg;, утилиту для предоставления вывода отладки приложений &gnupg;. Если подписывание, шифрование или проверка загадочным образом перестаёт работать, причину можно будет найти в журнале.

  Эта возможность недоступна в &Windows;, так как во вспомогательной программе на этой платформе не реализованы необходимые механизмы.

Сервис Обновить сертификаты OpenPGP

- Обновляет все сертификаты &openpgp; путём выполнения команды

      gpg --refresh-keys

  После успешного завершения команды локальное хранилище ключей будет отражать последние изменения, касающиеся действительности сертификатов &openpgp;.

  Информация о некоторых нюансах содержится в примечании под certificates-refresh-x509.

Сервис Обновить сертификаты X.509

- Обновляет все сертификаты &smime; путём выполнения команды

      gpgsm -k --with-validation --force-crl-refresh --enable-crl-checks

  После успешного завершения команды локальное хранилище ключей будет отражать последние изменения, касающиеся действительности сертификатов &openpgp;.

  Для обновления сертификатов &x509; или &openpgp; программе придётся загрузить все сертификаты и списки отзыва сертификатов, чтобы проверить, не были ли отозваны какие-либо из них.

  Из-за этого может возникнуть значительная нагрузка как на ваше сетевое соединение, так и на сетевые соединения других людей. В зависимости от параметров сетевого соединения и количества сертификатов, которое требуется проверить, выполнение обновления может занять час или даже больше.

Сервис Импорт списка отозванных сертификатов (CRL) из файла...

- Позволяет импортировать списки отзыва сертификатов из файлов вручную.

  Обычно обработка списков отзыва сертификатов (Certificate Revocation Lists, &crl;) производится программой автоматически, но при необходимости импорт &crl; в локальный кэш &crl; можно произвести вручную.

  Для импорта &crl; требуется, чтобы утилита &dirmngr; находилась в каталоге, указанном в переменной `PATH`. Если функция импорта &crl; недоступна, свяжитесь с системным администратором и попросите его установить &dirmngr;.

Сервис Очистить кэш отозванных сертификатов (CRL)

- Очищает кэш &crl; программы &gpgsm;.

  Скорее всего, вам эта функция никогда не потребуется. Чтобы принудительно обновить кэш &crl;, выберите все сертификаты и воспользуйтесь пунктом меню certificates-refresh-x509.

Сервис Снимок кэша отозванных сертификатов (CRL)

- Отображает содержимое кэша &crl; программы &gpgsm; с подробной информацией.

### Меню «Настройка»

В &kleopatra; есть стандартное меню &kde; Настройка (его описание приводится в соответствующем разделе «Основ &kde;») с одним дополнительным пунктом:

Настройка Выполнить самопроверку

- Выполняет набор действий для самопроверки и предоставляет их результат.

  Это тот же самый набор действий, который по умолчанию выполняется при запуске. Если самопроверка при запуске было отключена, её возможно снова включить здесь.

### Меню «Окно»

Меню Окно позволяет управлять вкладками. С помощью пунктов этого меню возможно переименовать вкладку, добавить новую вкладку, создать копию текущей вкладки, закрыть текущую вкладку или переместить текущую вкладку влево или вправо.

При щелчке по вкладке правой кнопкой мыши появится контекстное меню, в котором доступны для выбора те же самые действия.

### Меню «Справка»

В &kleopatra; есть стандартное меню &kde; Справка (его описание приводится в соответствующем разделе «Основ &kde;»).

## Параметры командной строки

Ниже перечислены параметры, присущие только &kleopatra;. Чтобы получить информацию по всем параметрам, запустите команду ``kleopatra `--help``` (действует для любого приложения &kde;).

`--uiserver-socket` `аргумент`

- Расположение сокета, на котором ожидает данных сервер интерфейса пользователя

`--daemon`

- Запускать только сервер интерфейса пользователя, скрывать главное окно

`-p` `--openpgp`

- Использовать &openpgp; для следующего действия

`-c` `--cms`

- Использовать CMS (&x509;, S/&MIME;) для следующего действия

`-i` `--import-certificate`

- Файл или &URL;, из которого будут импортированы сертификаты (или закрытые ключи).

  Эквивалентен функции file-import-certificates.

`-e` `--encrypt`

- Зашифровать файл(ы)

`-s` `--sign`

- Подписать файл(ы)

`-E` `--encrypt-sign`

- Зашифровать и/или подписать файл(ы). Аналогично `--sign-encrypt`, не используйте

`-d` `--decrypt`

- Расшифровать файл(ы)

`-V` `--verify`

- Проверить файл/подпись

`-D` `--decrypt-verify`

- Расшифровать и/или проверить файл(ы)

## Настройка &kleopatra;

Чтобы открыть диалоговое окно настройки &kleopatra;, воспользуйтесь пунктом меню Настройка Настроить &kleopatra;...

Ниже описаны все страницы окна.

### Настройка служб каталогов

На этой странице возможно указать серверы &ldap;, которые следует использовать для поиска сертификатов &smime;, и серверы ключей, которые следует использовать для поиска сертификатов &openpgp;.

Это просто более удобная для пользователя версия управления параметрами, которые также доступны в разделе configuration-gnupg-system. Всё, что можно настроить здесь, можно настроить и там.

#### Примечание о параметрах прокси-сервера

Параметры прокси-сервера можно настроить для серверов &http; и &ldap; в разделе configuration-smime-validation, но только для &gpgsm;. В случае работы &gpg; вам придётся вносить изменения непосредственно в файл конфигурации `gpg.conf` (по причине сложности параметров сервера ключей &gpg; и отсутствия надлежащей поддержки этих параметров в &gpgconf;). Дополнительные сведения доступны в руководстве по &gpg;. &kleopatra; сохранит установленные параметры, но в программе ещё не предусмотрена возможность изменять их с помощью графического интерфейса.

В таблице Службы каталогов показаны текущие настроенные серверы. Сделайте двойной щелчок по ячейке таблицы для изменения параметров существующего сервера.

Назначение столбцов таблицы:

Схема

- Определяет сетевой протокол, который используется для доступа к серверу. Среди часто используемых схем — ldap (и его собрат с &ssl;-шифрованием ldaps) для серверов &ldap; (общий протокол для &smime;; единственный поддерживаемый &gpgsm;) и hkp, протокол сервера ключей Горовица, современный протокол обмена данными с серверами ключей &http;, основанный на &http; протокол, поддерживаемый почти всеми общедоступными серверами ключей &openpgp;.

  Поддерживаемые схемы перечислены в руководствах по &gpg; и &gpgsm;.

Имя сервера

- Доменное имя сервера, например `keys.gnupg.net`.

Порт сервера

- Сетевой порт, на котором ожидает данных сервер.

  Значение этого параметра автоматически меняется на стандартное при смене значения параметра configuration-directory-services-scheme пользователем (за исключением тех случаев, когда изначально был задан какой-либо нестандартный порт). Если стандартный порт был изменён и не получается вернуть его исходное значение, попробуйте установить параметр configuration-directory-services-scheme в значение `http`, а параметр configuration-directory-services-server-port — в значение `80` (стандартное для &http;).

База поиска

- Базовое &dn; (только для &ldap; и &ldaps;), то есть корень иерархии &ldap;. Также часто называется корнем поиска или базой поиска.

  Обычно имеет вид наподобие `c=de,o=Foo`, указывается как часть &URL;-адреса &ldap;.

Имя пользователя

- Имя пользователя (если имеется) для входа на сервер.

  Этот столбец отображается только в том случае, если установлен флажок Показывать имя пользователя и пароль (под таблицей).

Пароль

- Пароль (если имеется) для входа на сервер.

  Этот столбец отображается только в том случае, если установлен флажок Показывать имя пользователя и пароль (под таблицей).

X.509

- Отметьте этот столбец, если этот пункт следует использовать для поиска сертификатов &x509; (&smime;).

  Для &smime; поддерживаются только серверы &ldap; (и &ldaps;).

OpenPGP

- Отметьте этот столбец, если этот пункт следует использовать для поиска сертификатов &openpgp;.

Возможно настроить любое количество серверов &smime; (&x509;), но одновременно будет можно использовать только один сервер &openpgp;. Графический интерфейс не позволит применить другие параметры настройки.

Чтобы добавить новый сервер, нажмите кнопку Создать. Будет скопирована выбранная запись (если имеется) или будут вставлены данные стандартного сервера &openpgp;. Затем возможно указать configuration-directory-services-server-name, configuration-directory-services-server-port, configuration-directory-services-base-dn, а также обычные configuration-directory-services-password и configuration-directory-services-user-name (значения обоих этих параметров необходимы только в том случае, если требуется аутентификация на сервере).

Чтобы напрямую вставить запись сертификата &x509;, воспользуйтесь пунктом меню Создать X.509. Для &openpgp; следует воспользоваться пунктом меню Создать OpenPGP.

Чтобы удалить сервер из списка, выберите его и нажмите кнопку Удалить.

Чтобы установить время ожидания &ldap; (время, в течение которого программа будет ожидать ответа сервера), используйте поле Время ожидания LDAP (мин:с).

Если база данных какого-либо сервера слишком большая, и количество результатов поиска, например, по строке `Ivanov` превышает максимальное количество записей в результате запроса (при этом выводится соответствующее сообщение), то может потребоваться увеличить этот предел.

Этот параметр не может изменить ограничения, определяемые настройками самого сервера.

### Настройка внешнего вида

#### Настройка Всплывающей подсказки

В основном списке сертификатов &kleopatra; может показывать сведения о сертификате в окне всплывающей подсказки. Отображается та же информация, которая представлена на вкладке Обзор диалога Сведения о сертификате. Тем не менее, возможно ограничить количество отображаемой в подсказках информации, выбрав только нужные данные.

Идентификатор ключа показан всегда. Это сделано для того, чтобы можно было различать всплывающие подсказки для разных сертификатов (это особенно важно, если был выбран только параметр tooltips-validity).

Возможно независимо включать или отключать следующие наборы данных:

Показывать действительность

- Показывает информацию о действительности сертификата: его текущее состояние, &dn; издателя (только для &smime;), срок действия (если имеется) и флаги использования сертификата.

  Пример:

      Этот сертификат в настоящее время действителен.
      Издатель:            CN=Test-ZS 7,O=Intevation GmbH,C=DE
      Действительность:          с 25.08.2009 10:42 по 19.10.2010 10:42
      Использование сертификата: Подписывание электронных писем и файлов, Шифрование электронных писем и файлов
      Идентификатор ключа:            DC9D9E43

Показывать сведения о владельце

- Показывает информацию о владельце сертификата: &dn; объекта (только для &smime;), идентификаторы пользователей (включая адреса электронной почты) и доверие владельцу (только для &openpgp;).

  Пример &openpgp;:

      Идентификатор пользователя:           Gpg4winUserA <gpg4winusera@test.hq>
      Идентификатор ключа:            C6BF6664
      Доверие владельцу:        абсолютное

  Пример &smime;:

      Объект:           CN=Gpg4winTestuserA,OU=Testlab,O=Gpg4win Project,C=DE
      или:            Gpg4winUserA@test.hq
      Идентификатор ключа:            DC9D9E43

Показывать технические подробности

- Показывает техническую информацию о сертификате: серийный номер (только для &smime;), тип, отпечаток и расположение хранилища.

  Пример:

      Серийный номер:     27
      Тип сертификата:  1,024-bit RSA (доступен закрытый сертификат)
      Идентификатор ключа:            DC9D9E43
      Отпечаток:       854F62EEEBB41BFDD3BE05D124971E09DC9D9E43
      Место хранения:            на этом компьютере

#### Настройка Категорий сертификатов

&kleopatra; позволяет изменить внешний вид сертификатов в списке. Возможно настроить отображение небольшого значка, а также изменить шрифт и цвета текста и фона.

Каждой категории сертификатов в списке назначен набор цветов, значок (необязательно) и шрифт для отображения сертификатов из этой категории. Список категорий также обеспечивает предварительный просмотр результата настройки этих параметров. Категории определяются администратором или другим пользователем с достаточными правами, смотрите admin-key-filters (admin).

Чтобы установить или изменить значок категории, выберите его в списке и нажмите кнопку Значок.... Будет открыто стандартное окно выбора значка &kde;, с помощью которого возможно выбрать существующий значок из набора &kde; или загрузить свой.

Чтобы удалить значок, нажмите кнопку Внешний вид по умолчанию.

Чтобы изменить цвет текста категории, выберите её в списке и нажмите Цвет текста.... Будет открыто стандартное окно выбора цвета &kde;, с помощью которого можно выбрать существующий цвет или создать новый.

Аналогичным образом возможно изменить цвет фона (кнопка Цвет фона...).

Есть два способа изменения шрифта:

1. Изменить стандартный шрифт, используемый во всех представлениях списков &kde;

2. Использовать другой шрифт.

В первом случае будет изменён стиль, используемый для всех окон &kde;, во втором вы можете более точно настроить шрифт. Выбор за вами.

Чтобы изменить стандартный шрифт, используйте переключатели Курсив, Полужирный и Зачёркнутый. Внесённые изменения немедленно применяются к шрифтам списка категорий.

Чтобы использовать другой шрифт, нажмите кнопку Шрифт.... Будет открыто стандартное окно выбора шрифта &kde;, с помощью которого можно выбрать новый шрифт.

Изменение параметров выбранного шрифта выполняется тем же образом, что и для стандартного шрифта.

Если следует использовать стандартный шрифт, нажмите кнопку Внешний вид по умолчанию.

#### Настройка Порядка атрибутов уникальных имён

&dn; упорядочены в соответствии с их иерархией, однако порядок отдельных компонентов (так называемых относительных &dn; (relative &dn;, RDN) или атрибутов &dn;) не определён. Порядок их отображения зависит от личных предпочтений или от стандарта, принятого фирмой, поэтому его можно настроить с помощью &kleopatra;.

Эти настройки применяются не только к &kleopatra;, но и ко всем приложениям, использующим &kleopatra;. На момент написания документации это &kmail;, &kaddressbook; и собственно &kleopatra;.

Страница настройки состоит из двух списков. В одном содержатся атрибуты (Доступные атрибуты), в другом отображается Текущий порядок атрибутов.

Пункты обоих списков включают в себя как краткое название атрибута (например, CN), так и полное (Общее имя).

Список Доступные атрибуты упорядочен по алфавиту, а список Текущий порядок атрибутов отражает установленный порядок &dn;.

Отображаются только атрибуты, входящие в список Текущий порядок атрибутов. Остальные по умолчанию скрыты.

Однако, если в текущий список входит пункт _X_ (Все остальные), то на месте _X_ будут отображаться все атрибуты, не входящие в список (вне зависимости от того, известны они программе или нет).

Приведём простой пример:

Задано отличительное имя (&dn;)

> O=&kde;, C=US, CN=Dave Devel, X-BAR=foo, OU=&kleopatra;, X-FOO=bar,

при использовании стандартного порядка атрибутов CN, L, _X_, OU, O, C будет получено следующее форматированное &dn;:

> CN=Dave Devel, X-BAR=foo, X-FOO=bar, OU=&kleopatra;, O=&kde;, C=US

а при использовании CN, L, OU, O, C будет получено

> CN=Dave Devel, OU=&kleopatra;, O=&kde;, C=US

Чтобы добавить атрибут в список текущего порядка, выберите его в списке Доступные атрибуты и нажмите кнопку Добавить в текущий порядок атрибутов.

Чтобы удалить атрибут из списка текущего порядка, выберите его в списке Текущий порядок атрибутов и нажмите кнопку Удалить из текущего порядка атрибутов.

Чтобы переместить атрибут в начало (конец) списка Текущий порядок атрибутов, выберите его в этом списке и нажмите кнопку Переместить наверх (Переместить вниз).

Чтобы переместить атрибут вверх (вниз) на один пункт в списке Текущий порядок атрибутов, выберите его в этом списке и нажмите кнопку Переместить выше (Переместить ниже).

### Настройка криптографических действий

#### Настройка Действий с электронной почтой

Здесь возможно настроить некоторые аспекты обработки электронной почты &uiserver; &kleopatra;. В текущей версии возможно только выбрать, следует ли использовать Быстрый режим для подписывания и шифрования (по отдельности) электронной почты.

Когда Быстрый режим включён, при подписывании (шифровании) писем не отображается диалоговое окно (оно появится только при наличии конфликта, который требуется разрешить вручную).

#### Настройка Действий с файлами

Здесь возможно настроить некоторые аспекты обработки файлов &uiserver; &kleopatra;. В текущей версии возможно только выбрать программу для вычисления контрольных сумм, которая будет использоваться для `CHECKSUM_CREATE_FILES`.

Параметр Программа для подсчёта контрольных сумм файлов позволяет указать, какую из настроенных программ следует использовать при создании контрольных сумм файлов.

При проверке контрольных сумм соответствующая программа выбирается автоматически (на основе имён обнаруженных файлов контрольных сумм).

Администратор или пользователь с достаточными правами могут определить программы для вычисления контрольных сумм, которые будут доступны &kleopatra;, с помощью так называемых Определений контрольных сумм в файле конфигурации. Подробные сведения доступны в разделе admin-checksum-definitions главы admin.

### Настройка аспектов проверки S/&MIME;

На этой странице возможно настроить определённые параметры проверки сертификатов &smime;.

Как правило, это просто более удобная для пользователя версия управления параметрами, которые также доступны в разделе configuration-gnupg-system. Всё, что можно настроить здесь, можно настроить и там, за исключением специфичного для &kleopatra; параметра configuration-smime-validation-refresh-interval.

Назначение параметров:

#### Настройка интервала проверки сертификата

Проверять действительность сертификата каждые `N` часов

- Этот параметр позволяет выполнять периодическую проверку действительности сертификата. Также возможно выбрать интервал между проверками (в часах). Результат периодической проверки аналогичен результату использования пункта меню view-redisplay; пунктов изменения интервалов проверки, соответствующих пунктам меню certificates-refresh-openpgp и certificates-refresh-x509, не предусмотрено.

  Проверка выполняется неявно при изменении значимых файлов `~/.gnupg`. Следовательно, этот пункт, как и пункты меню certificates-refresh-openpgp и certificates-refresh-x509, затрагивает только внешние факторы действительности сертификатов.

#### Настройка метода проверки

Проверять сертификаты с помощью списков отзыва

- Если этот параметр включён, сертификаты &smime; проверяются с помощью списков отзыва сертификатов (Certificate Revocation Lists, &crl;).

  Описание альтернативного метода проверки подлинности доступно здесь: configuration-smime-validation-use-ocsp.

Проверять сертификаты интерактивно (OCSP)

- Если этот параметр включён, сертификаты &smime; проверяются интерактивно с помощью сетевого протокола состояния сертификатов (Online Certificates Status Protocol, &ocsp;).

  При выборе этого метода на сервер центра сертификации отправляется запрос практически каждый раз, когда выполняется отправка или получение зашифрованного сообщения, что теоретически позволяет издателю сертификатов следить за тем, с кем ведётся обмен сообщениями электронной почты.

  Для использования этого метода необходимо ввести &URL;-адрес сервера &ocsp; в поле configuration-smime-validation-ocsp-url.

  Описание традиционного метода проверки подлинности сертификата, который не допускает утечки данных о корреспонденте, содержится здесь: configuration-smime-validation-use-ocsp.

Адрес сервера OCSP

- Введите здесь адрес сервера для интерактивной проверки сертификатов (службы ответов &ocsp;). &URL;-адрес обычно начинается с `http://`.

Подпись службы OCSP

- Здесь возможно указать сертификат, с помощью которого сервер &ocsp; подписывает свои ответы.

Игнорировать адреса служб сертификатов

- В каждом из сертификатов &smime; обычно содержится адрес ответчика &ocsp; его издателя (посмотреть, содержит ли сертификат эти сведения, можно с помощью пункта меню certificates-dump-certificate).

  Если этот параметр включён, &gpgsm; будет игнорировать эти &URL;-адреса и использовать только указанный выше.

  Это позволяет, например, задать принудительное использованиепрокси-сервера &ocsp; на уровне компании.

#### Настройка параметров проверки

Не проверять политики сертификатов

- По умолчанию &gpgsm; использует файл ~/.gnupg/policies.txt для проверки доступности политик сертификатов. При включении этого параметра политики проверяться не будут.

Никогда не обращаться к CRL

- Если этот параметр включён, то при проверке сертификатов &smime; не будут использованы списки отозванных сертификатов (CRL).

Разрешить отмечать корневые сертификаты как доверенные

- Если этот параметр включён во время импорта сертификата корневого удостоверяющего центра, то необходимо будет подтвердить его отпечаток и указать, следует ли рассматривать этот корневой сертификат как доверенный.

  Корневой сертификат необходимо сделать доверенным до того, как станут доверенными другие сертификаты. Необдуманное добавление корневого сертификата в хранилище сертификатов может подорвать безопасность системы.

  Включение этой возможности во вспомогательной программе может привести к появлению всплывающих окон &pinentry; в неподходящее время (например, при проверке подписей), что помешает автоматической обработке почты. Поэтому (а также по причине того, что желательно иметь возможность отменить доверие доверенному корневому сертификату) &kleopatra; позволяет настраивать уровень доверия вручную с помощью certificates-trust-root и certificates-distrust-root.

  Указанное значение этого параметра не влияет на работу &kleopatra;.

Загружать отсутствующие базовые сертификаты

- Если этот параметр включён, при необходимости выполняется получение отсутствующих базовых сертификатов (это применимо к обоим методам проверки, &crl; и &ocsp;).

#### Настройка параметров запросов &http;

Не выполнять запросы HTTP

- Полностью отключает использование &http; для &smime;.

Не отправлять запросы HTTP в центры распространения списков отозванных сертификатов (CRL)

- При определении расположения списка отозванных сертификатов (&crl;) проверяемый сертификат обычно содержит записи о так называемых центрах распространения списков отозванных сертификатов (&crl; Distribution Point, DP), которые являются ссылками, описывающими способ получения доступа к CRL. Будет использована первая найденная запись DP.

  При включении этого параметра запросы &http; в центры распространения CRL отправляться не будут.

Использовать системный прокси-сервер

- При включении этого параметра для любого запроса по протоколу &http; будет использован указанный прокси-сервер &http; (по умолчанию он берётся из переменной окружения `http_proxy`).

Использовать этот прокси-сервер для запросов HTTP

- Если не указан системный прокси-сервер или требуется использовать другой прокси-сервер для &gpgsm;, укажите здесь его адрес.

  Он будет использоваться для всех запросов &HTTP;, относящихся к S/&MIME;.

  Формат: ``хост``:``порт``. Пример: `myproxy.nowhere.com:3128`.

#### Настройка параметров запросов &ldap;

Не выполнять запросы LDAP

- Полностью отключает использование &ldap; для &smime;.

Не отправлять запросы LDAP в центры распространения списков отозванных сертификатов (CRL)

- При определении расположения списка отозванных сертификатов (&crl;) проверяемый сертификат обычно содержит записи о так называемых центрах распространения списков отозванных сертификатов (&crl; Distribution Point, DP), которые являются ссылками, описывающими способ получения доступа к CRL. Будет использована первая найденная запись DP.

  При включении этого параметра запросы &ldap; в центры распространения CRL отправляться не будут.

Основной сервер для запросов LDAP

- При указании здесь сервера &ldap; все запросы будут сначала направляться на него. Этот параметр переопределяет указанные в ссылке &ldap; `хост` и `порт`, а также используется, если `хост` и `порт` не указаны в ссылке.

  Другие серверы &ldap; будут использованы только при невозможности соединения через прокси-сервер. Формат: ``хост`` или ``хост``:``порт``. . Если `порт` не указан, будет использован стандартный порт &ldap; — 389.

### Настройка системы &gnupg;

Эта часть диалога автоматически генерируется из вывода команды `gpgconf `--list-components``, а также, для каждого из выведенных этой командой `компонентов`, из вывода команды `gpgconf `--list-options` `компонент``.

Самые полезные из этих опций продублированы на отдельных страницах диалога настройки &kleopatra;. Две страницы диалога настройки, содержащие выбранные опции из этой части диалога: configuration-directory-services и configuration-smime-validation.

Точный список пунктов этой части диалогового окна зависит от установленной в системе версии сервера &gnupg; и, возможно, программной платформы. Поэтому будет рассмотрена только общая компоновка диалогового окна, в частности, соответствие параметров &gpgconf; элементам управления графического интерфейса &kleopatra;.

&gpgconf; возвращает информацию о конфигурации для нескольких компонентов. В рамках каждого компонента отдельные опции объединены в группы.

&kleopatra; показывает для каждого из компонентов, о которых сообщает &gpgconf;, отдельную вкладку. В верхней части каждой из групп будет показана горизонтальная линия и название группы, которое было возвращено &gpgconf;.

Каждая опция &gpgconf; имеет тип. За исключением некоторых хорошо известных опций, которые в &kleopatra; для удобства пользователей предоставлены специализированными элементами управления, между типами &gpgconf; и элементами управления &kleopatra; имеются следующие соответствия:

### Соответствие типов &gpgconf; элементам управления интерфейса пользователя

Тип &gpgconf; | Элемент управления &kleopatra;
для списков | не для списков
`none` | Счётчик (count-semantics) | Флажок
`string` | Н/Д | Строка ввода текста
`int32` | Строка ввода текста (без форматирования) | Счётчик
`uint32`
`pathname` | Н/Д | специализированный элемент управления
`ldap server` | специализированный элемент управления | Н/Д
`key fingerprint` | Н/Д
`pub key`
`sec key`
`alias list`

В руководстве по &gpgconf; доступны дополнительные сведения о том, что и как здесь возможно настроить.

## Руководство администратора

В руководстве администратора описаны параметры настройки &kleopatra;, определяемые файлами конфигурации и отсутствующие в интерфейсе пользователя.

Предполагается, что читатель знаком с настройкой приложений &kde;, включая структуру, расположение файлов настроек, наследование и перекрывание настроек, а также с технологией KIOSK.

### Настройка мастера создания сертификатов

#### Настройка полей &dn;

&kleopatra; позволяет указать, какие параметры при создании сертификатов сможет определять пользователь.

Создайте группу настроек `CertificateCreationWizard` в общесистемном файле `kleopatrarc`. Если вы хотите настроить порядок отображения или доступность атрибутов, создайте ключ `DNAttributeOrder`. В его значение должны входить один или несколько пунктов из следующего списка: `CN,SN,GN,L,T,OU,O,PC,C,SP,DC,BC,EMAIL`. Вы можете указать начальное значение параметров в виде атрибут=значение. Если вы хотите, чтобы какой-либо атрибут был обязательным, добавьте восклицательный знак (например, `CN!,L,OU,O!,C!,EMAIL!` — конфигурация по умолчанию).

Модификатор режима KIOSK — `$e` — позволяет получать значения из переменных окружения, от сценариев и программ. Если вы хотите сделать значение поля неизменяемым, используйте модификатор `$i`. Установите значение false для переменной `ShowSetWhoAmI`, чтобы отключить кнопку Вставить мой адрес.

Технология &kde; KIOSK не позволяет пользователю отключить флаг `$i`. Такое поведение не является ошибкой в программе. Флаги `$i` и `$e` можно использовать во всех ключах приложений &kde;.

Ниже показаны примеры настроек:

    [CertificateCreationWizard]
    ;Запретить копирование личных данных из адресной книги, не разрешать пользователям отменять этот запрет
    ShowSetWhoAmI[$i]=false

    ;установить имя пользователя в соответствии с переменной $USER
    CN[$e]=$USER

    ;установить название компании "My Company", запретить изменение
    O[$i]=My Company

    ;определить название отдела с помощью сценария
    OU[$ei]=$(lookup_dept_from_ip)

    ;установить страну RU, позволить пользователям изменять значение
    C=RU

#### Ограничение типов ключей, которые может создавать пользователь

&kleopatra; также позволяет ограничить тип сертификатов, которые может создавать пользователь. Однако обратите внимание, что это ограничение легко обойти, просто создав сертификат с помощью командной строки.

##### Алгоритмы открытых ключей

Чтобы ограничить перечень алгоритмов, которые можно использовать, добавьте ключ конфигурации `PGPKeyType` (и `CMSKeyType`, но для CMS всё равно поддерживается только RSA) в раздел `CertificateCreationWizard` файла `kleopatrarc`.

Допустимые значения: `RSA` для ключей RSA, `DAS` для ключей DSA (только подписывание) и `DSA+ELG` для ключей DSA (только подписывание) с подключом ElGamal для шифрования.

Значение по умолчанию будет прочитано из &gpgconf; или `RSA`, если в &gpgconf; не указано значение по умолчанию.

##### Размер открытого ключа

Чтобы ограничить перечень размеров ключей, доступных алгоритму создания открытого ключа, добавьте ключ конфигурации ``<АЛГ>`KeySizes` (где `АГЛ` может принимать значение `RSA`, `DSA` или `ELG`) в раздел `CertificateCreationWizard` файла `kleopatrarc`, со списком разделённых запятыми размеров ключей (в битах). Стандартное значение возможно указать, предварив размер ключа дефисом (`-`).

    RSAKeySizes = 1536,-2048,3072

Приведённая выше запись ограничивает допустимые размеры ключей RSA значениями 1536, 2048 и 3072. Стандартным будет значение 2048.

Помимо самих размеров, также возможно указать подписи для них. Просто укажите ключ конфигурации ``АЛГ`KeySizeLabels` (следует указать список разделённых запятыми подписей).

    RSAKeySizeLabels = weak,normal,strong

При использовании таких подписей для предыдущего примера получится следующий набор вариантов:

    weak (1536 бит)
                  normal (2048 бит)
                  strong (3072 бита)

Стандартные значения будут такими:

    RSAKeySizes = 1536,-2048,3072,4096
                  RSAKeySizeLabels =
                  DSAKeySizes = -1024,2048
                  DSAKeySizeLabels = v1,v2
                  ELGKeySizes = 1536,-2048,3072,4096

### Создание и редактирование категорий ключей

&kleopatra; позволяет пользователям настраивать внешний вид ключей в списке с помощью Категорий ключей. Категории ключей также используются для фильтрации списка сертификатов. В этом разделе описан процесс изменения доступных категорий и добавления новых.

При определении категории ключа &kleopatra; последовательно применяет к ключу фильтры, описанные в файле `libkleopatrarc`. Первый фильтр, которому соответствует ключ, определяет его категорию (на основе концепции точности, о которой рассказывается далее).

Каждый фильтр ключей определяется группой параметров под названием`Key Filter #`n``, где `n` — номер (нумерация начинается с нуля).

Единственные обязательные ключи группы `Key Filter #`n`` — `Name` (определяет имя категории, отображаемое в диалоге настройки) и `id` (используется для ссылки на фильтр в других разделах конфигурации (например, `View #`n``)).

table-key-filters-appearance выводит список всех параметров, определяющих отображение ключей этой категории (эти параметры возможно изменить с помощью окна настройки), table-key-filters-criteria перечисляет критерии, по которым фильтр отбрасывает ключи.

### Настройки отображения ключей

Настройка | Тип | Описание
`background-color` | цвет | Цвет фона. Если не указан, используется цвет фона списков по умолчанию.
`foreground-color` | цвет | Цвет текста. Если не указан, используется цвет текста списков по умолчанию.
`font` | шрифт | Пользовательский шрифт. Размер шрифта определяется настройками для всех списков, используются атрибуты шрифта (описаны ниже).
`font-bold` | логический | Если установлено значение `true`, а значение параметра `font` не указано, будет использоваться шрифт списков по умолчанию с добавлением полужирности (если возможно). Если значение параметра `font` указано, переменная игнорируется.
`font-italic` | логический | Аналогично `font-bold`; определяет, будет ли использоваться курсив.
`font-strikeout` | логический | Если установлено значение `true`, то через строку, написанную этим шрифтом, будет проведена горизонтальная линия. Применяется, даже если значение параметра `font` указано.
`icon` | текст | Название значка, отображаемого в первом столбце. Пока не используется.

### Настройки критериев фильтров

Настройка | Тип | Если указано, то ключ считается соответствующим фильтру, в том случае если...
`is-revoked` | логический | ключ был аннулирован.
`match-context` | контекст Контекст — это перечисление со следующими допустимыми значениями: `appearance`, `filtering` и `any`. | контекст, в котором используется этот фильтр.
`is-expired` | логический | ключ устарел.
`is-disabled` | логический | использование ключа было отменено пользователем (ключ помечен как неиспользуемый). Игнорируется для ключей &smime;.
`is-root-certificate` | логический | ключ является корневым сертификатом. Игнорируется для ключей &openpgp;.
`can-encrypt` | логический | ключ можно использовать для шифрования.
`can-sign` | логический | ключ можно использовать для создания подписи.
`can-certify` | логический | ключ можно использовать для подписывания (сертификации) других ключей.
`can-authenticate` | логический | ключ можно использовать для аутентификации (например, сертификат клиента TLS).
`is-qualified` | логический | ключ можно использовать для создания квалифицированных подписей (в соответствии с определением в немецком законе о цифровой подписи).
`is-cardkey` | логический | материал ключа хранится на смарт-карте (а не на компьютере).
`has-secret-key` | логический | для этой пары ключей доступен закрытый ключ.
`is-openpgp-key` | логический | ключ является ключом &openpgp; (`true`) или &smime;(`false`).
`was-validated` | логический | ключ был проверен.
``префикс`-ownertrust` | проверка владельца Возможны следующие результаты проверки владельца: `unknown`, `undefined`, `never`, `marginal`, `full`, `ultimate`. Подробное объяснение содержится в руководствах &gpg; и &gpgsm;. | Результат проверки владельца ключа соответствует указанному, (`префикс` = `is`), не содержит указанного (`префикс` = `is-not`), не меньше указанного (`префикс` = `is-at-least`) или не больше указанного (`префикс` = `is-at-most`), то считается, что ключу можно доверять. Если группа включает более одного параметра ``префикс`-ownertrust` (с различными значениями `префикс`), то поведение не определено.
``префикс`-validity` | проверка владельца | Аналогично ``префикс`-ownertrust`, но используется для проверки действительности ключа.

Некоторые критерии, например, `is-revoked` и `is-expired`, применяются только к действительным ключам, так как по умолчанию соответствующие проверки (был ли аннулирован и устарел ли ключ) проводятся только для действительных ключей. Однако эти дополнительные проверки можно отменить.

Помимо приведённых выше ключей конфигурации, в фильтре ключей также могут быть ключи `id` и `match-contexts`.

С помощью ключа `id` фильтра (если он не указан или пуст, его стандартным значением будет название группы параметров фильтра) возможно сослаться на этот фильтр в другом разделе конфигурации. Например, в разделе настройки вида &kleopatra;. Ключ `id` не интерпретируется &kleopatra;, поэтому возможно использовать любую строку, если она уникальна.

Ключ `match-contexts` ограничивает применимость фильтра. В текущей версии программы определены два контекста. Контекст `appearance` используется при определении свойств цветов и шрифтов для представлений. Контекст `filtering` используется для избирательного включения (и исключения) сертификатов из представлений. Для обозначения всех текущих определённых областей применения можно воспользоваться значением `any` (это стандартное значение, если не указан ключ `match-contexts`). Таким образом обеспечивается отсутствие мёртвых фильтров ключей, то есть вообще не применяемых фильтров.

Форматом этой записи является список маркеров, разделённых символами, не образующими слова. Каждый из маркеров может иметь префикс в виде восклицательного знака (`!`), который обозначает изменение значения на противоположное. Маркеры по порядку применяются ко внутреннему списку контекстов, который сначала пуст. Лучше всего это можно понять на примере: `any !appearance` это то же, что и `filtering`, а `appearance !appearance` даст пустое множество, то есть то же самое, что и `!any`. Последние два случая будут заменены на `any`, поскольку они определяют пустые области применения.

Обычно проверки по неопределённым критериям (когда параметры не заданы записью конфигурации) не проводятся. Чтобы соответствовать всему фильтру, ключ должен соответствовать каждому критерию.

Каждый из фильтров имеет собственную точность (она используется для упорядочения всех соответствующих фильтров). Более точный фильтр будет иметь преимущество перед менее точным. Если два фильтра будут иметь одинаковый уровень точности, первым из них будет считаться тот, который первым записан в файле конфигурации. Точность фильтрапропорциональна количеству критериев, которые он содержит.

#### Примеры фильтров ключей

Следующий фильтр отбирает все устаревшие, но не аннулированные корневые сертификаты:

    [Key Filter #n]
    Name=истёкшие, но не отозванные
    was-validated=true
    is-expired=true
    is-revoked=false
    is-root-certificate=true
    ; ( specificity 4 )

Следующий фильтр отбирает все ключи &openpgp;, использование которых отменено владельцем (пока не поддерживается &kleopatra;), с не менее чем ограниченным уровнем доверия владельцу.

    [Key Filter #n]
    Name=отключённые ключи OpenPGP с ограниченным или большим доверием владельцу
    is-openpgp=true
    is-disabled=true
    is-at-least-ownertrust=marginal
    ; ( specificity 3 )

### Настройка архиваторов для использования с функцией подписывания/зашифровывания файлов

&kleopatra; позволяет администратору (и пользователю с достаточными правами) настроить список архиваторов, представленных в диалоге подписывания/шифрования файлов.

Каждый из архиваторов определён в файле `libkleopatrarc` как отдельная группа `Archive Definition #`n`` со следующими обязательными ключами:

`extensions`

- Разделённый запятыми список расширений файлов, обычно соответствующий форматам, с которыми работает архиватор.

`id`

- Уникальный идентификатор, который программа использует для распознавания этого архиватора. Если неизвестно, какой идентификатор следует использовать, укажите название команды.

`Name` (с возможностью перевода)

- Видимое пользователю название архиватора, которое также отображается в соответствующем раскрывающемся меню диалога подписывания/шифрования файлов.

`pack-command`

- Команда для архивирования файлов. Возможно использовать любую команду, для выполнения которой не требуется оболочка. Поиск файла программы выполняется в каталоге, указанном в переменной `PATH`, если не указан абсолютный путь к файлу. Поддерживается использование кавычек (как если бы использовалась оболочка):

      pack-command="/opt/ZIP v2.32/bin/zip" -r -

Так как обратная косая черта (`\`) в файлах конфигурации &kde; является escape-символом, её необходимо дублировать в адресах файлов:

    pack-command=C:\\Programs\\GNU\\tar\\gtar.exe ...

Однако для самой команды (в отличие от её аргументов) возможно использовать обычные косые черты (`/`) как разделители пути на всех платформах:

    pack-command=C:/Programs/GNU/tar/gtar.exe ...

Такая возможность не поддерживается для аргументов, так как в большинстве программ &Windows; обычная косая черта используется для параметров. Например, следующая запись не сработает, так как `C:/myarchivescript.bat` является аргументом `cmd.exe`, а `/` преобразуется в `\` в командах, но не в аргументах:

    pack-command=cmd.exe C:/myarchivescript.bat

Вместо этого необходимо указать следующее:

    pack-command=cmd.exe C:\\myarchivescript.bat

#### Передача имени входного файла для `pack-command`

Существуют три способа передачи имён файлов команде упаковки. Для каждого из них `pack-command` предоставляет определённый синтаксис:

1. Как аргументы командной строки.

   Пример (tar):

       pack-command=tar cf -

   Пример (zip):

       pack-command=zip -r - %f

   В этом случае имена файлов передаются в командной строке. &kleopatra; не использует оболочку для выполнения команды. Следовательно, это безопасный способ передачи имён файлов, но передаче могут помешать существующие на некоторых платформах ограничения на длину командной строки. Литерал `%f`, если он имеется, заменяется именами файлов для архивирования. В ином случае имена файлов добавляются в командную строку. Следовательно, вышеприведённый пример с zip также возможно записать в следующем виде:

       pack-command=zip -r -

2. С помощью стандартного ввода, с разделением имён файлов символами новой строки: достаточно указать `|` перед командой.

   Пример (&GNU;-tar):

       pack-command=|gtar cf - -T-

   Пример (ZIP):

       pack-command=|zip -@ -

   В этом случае имена файлов передаются архиватору через stdin, по одному в каждой строке. Это позволяет избежать проблем при работе на платформах, где установлено низкое предельное значение допустимого количества аргументов командной строки. Но такой способ не сработает, если имена файлов содержат символы новой строки.

   В текущей версии &kleopatra; предусмотрена поддержка только символа новой строки LF, поддержка CRLF ещё не предусмотрена. Она может быть добавлена по просьбе пользователей в следующих версиях программы.

3. С помощью стандартного ввода, с разделением имён файлов NUL-байтами: достаточно указать `0|` перед командой.

   Пример (&GNU;-tar):

       pack-command=0|gtar cf - -T- --null

   Этот способ аналогичен приведённому выше, за исключением того, что для разделения имён файлов используются NUL-байты. Поскольку использование NUL-байтов в именах файлов является невозможным, это самый надёжный способ передачи имён файлов, но его поддержка предусмотрена не во всех архиваторах.

### Настройка программ подсчёта контрольных сумм для использования с функцией создания/проверки контрольных сумм

&kleopatra; позволяет администратору (и пользователю с достаточными правами) настроить список программ подсчёта контрольных сумм, которые будут доступны для выбора в диалоге конфигурации и будут автоматически определяться &kleopatra; при запросе проверки контрольной суммы файла.

Чтобы вывод программ расчёта контрольных сумм (как записанный файл контрольной суммы, так и вывод в stdout при проверке контрольных сумм) мог использоваться в &kleopatra;, он должен быть совместим с командами `md5sum` и `sha1sum` &GNU;.

В частности, файл контрольной суммы должен быть поделен на строки, каждая из которых должна быть записана в следующем формате:

    КОНТРОЛЬНАЯ_СУММА ' ' ( ' ' | '*' ) ИМЯ_ФАЙЛА

, где `КОНТРОЛЬНАЯ_СУММА` состоит только из шестнадцатеричных символов. Если `ИМЯ_ФАЙЛА` содержит символ новой строки, строка должна быть такой:

    \КОНТРОЛЬНАЯ_СУММА ' ' ( ' ' | '*' ) ЭКРАНИРОВАННОЕ_ИМЯ_ФАЙЛА

, где `ЭКРАНИРОВАННОЕ_ИМЯ_ФАЙЛА` — имя файла, в котором символы новой строки заменены на `\n` и продублированы обратные косые черты(`\`↦`\\`).

Аналогичным образом, вывод checksum-definition-verify-command должен иметь вид

    ИМЯ_ФАЙЛА ( ': OK' | ': FAILED' )

с разделением на строки. В выводе не экранируются символы новой строки и другие символы.

Да, эти программы были написаны без учёта потребности в графическом интерфейсе. &kleopatra; не сможет правильно обработать файлы, названия которых содержат «: OK» и символ новой строки.

Каждая программа расчёта контрольных сумм определена в файле `libkleopatrarc` как отдельная группа `Checksum Definition #`n`` со следующими обязательными ключами:

`file-patterns`

- Список регулярных выражений, описывающих то, какие файлы должны считаться файлами контрольных сумм для этой программы расчёта контрольных сумм. Синтаксис выражений соответствует синтаксису, используемому для списков строк в файлах конфигурации &kde;.

  Так как регулярные выражения обычно содержат обратные косые черты, необходимо надлежащим образом экранировать их в файле конфигурации. Рекомендуется использовать утилиту для редактирования файлов конфигурации.

  Учёт регистра символов в шаблонах зависит от используемой программной платформы.

`output-file`

- Типичное название файла выходных данных для этой программы расчёта контрольных сумм (конечно же, должно соответствовать одному из значений checksum-definition-file-patterns). Его &kleopatra; будет использовать в качестве названия файла выходных данных при создании файлов контрольных сумм соответствующего типа.

`id`

- Уникальный идентификатор, который используется для распознавания этой программы расчёта контрольных сумм. Если неизвестно, какой идентификатор следует использовать, укажите название команды.

`Name` (с возможностью перевода)

- Видимое пользователю название программы расчёта контрольных сумм, которое отображается в раскрывающемся меню диалога настройки &kleopatra;.

`create-command`

- Команда для создания файлов контрольных сумм. Синтаксис, ограничения и опции передачи аргументов совпадают с теми, которые описаны для archive-definition-pack-command в admin-archive-definitions.

`verify-command`

- То же самое, что и checksum-definition-create-command, но для проверки контрольных сумм.

Вот полный пример:

    [Checksum Definition #1]
              file-patterns=sha1sum.txt
              output-file=sha1sum.txt
              id=sha1sum-gnu
              Name=sha1sum (GNU)
              Name[de]=sha1sum (GNU)
              ...
              create-command=sha1sum -- %f
              verify-command=sha1sum -c -- %f

## Авторские права и лицензия

Авторские права на программу &kleopatra;: &Steffen.Hansen;, &Matthias.Kalle.Dalheimer; и &Jesper.Pedersen;, 2002, &Daniel.Molkentin;, 2004, Klarälvdalens Datakonsult AB, 2004, 2007, 2008, 2009, 2010

Авторские права на документацию: &Steffen.Hansen;, 2002, &Daniel.Molkentin;, 2004, Klarälvdalens Datakonsult AB, 2004, 2010

## В разработке участвовали:

- &Marc.Mutz; &Marc.Mutz.mail;

- &David.Faure; &David.Faure.mail;

- &Steffen.Hansen; hansen@kde.org

- &Matthias.Kalle.Dalheimer; &Matthias.Kalle.Dalheimer.mail;

- &Jesper.Pedersen; &Jesper.Pedersen.mail;

- &Daniel.Molkentin; &Daniel.Molkentin.mail;

Олеся Герасименкоtranslation-team@basealt.ru

&underFDL; &underGPL;
&documentation.index;