第 1.a 步 配置电子邮件账户

打开电邮程序，按照向导一步一步配置好电邮账户。通常第一步是从“账户设置” →“添加邮件账户”开始的。从系统管理员和电邮账户帮助页面可以获得电邮服务器设置信息。

第 1.b 步 安装 GnuPG

如果使用的是 GNU/Linux，或是已经安装了 GnuPG，请跳至第 2 节。

如果你使用的是 macOS 或 Windows，你首先需要安装 GnuPG程序。根据你自己的操作系统完成下述操作。在本指南后面的篇幅，所有操作系统的步骤都是相同的。

GnuPG 和 OpenPGP 有何区别？

通常，术语 GnuPG, GPG, GNU Privacy Guard, OpenPGP 和 PGP可以互换其称呼。技术上说，OpenPGP（Pretty Good Privacy）是一种加密标准， GNU Privacy Guard（常被缩写为GPG 和 GnuPG）是实现该标准的程序。大多数电邮程序提供了 GnuPG 接口，GnuPG 也有叫 GnuPG2 的新版本。

第 2.a 步 生成密钥对

生成密钥对

我们将在终端里使用 GnuPG 程序的命令完成创建密钥对。

无论在 GNU/Linux、macOS 还是 Windows 系统，你都能够使用终端（macOS 叫 Termial，Windows 叫PowerShell），一些 GNU/Linux 发行版可以通过快捷键Ctrl + Alt + T 打开终端。

# 输入gpg --full-generate-key 开始生成密钥。

# 创建何种类型的密钥，请选择默认选项：1 RSA and RSA.

# 输入以下密钥长度：4096 来得到强壮的密钥。

# 选择失效日期；我们建议2y （两年）。

按照提示继续设置个人信息。

使用--gen-key 还是--full-generate-key 视使用的 GPG版本而定。

设置密码

在“密码”界面，取一个强壮的密码吧！你可以自行取密码，也可以使用 Diceware 方法。自己取密码虽然快捷，但不安全。使用 Diceware需要更长时间，并要求掷骰子，但它能生成攻击者难以猜测的密码。要使用它，请阅读 Micah Lee 写的这篇文章的“使用Diceware 生成安全密码 ”章节。

如果你喜欢自己取密码，想一个能记住的至少十二字符长的东西，包含至少一个小写和一个大写字母，至少一个数字或标点符号。永远不要使用你在其他地方使用过的密码。不用使用任何可辨认的规律，诸如生日、电话号码、宠物名字、歌词或书中的名言等等。

第 2.b 步 生成密钥的一些重要步骤

上传公钥到密钥服务器

我们将公钥上传到密钥服务器，想给你发送加密信息的人现在可以从因特网上下载到你的公钥了。上传时菜单中有多个密钥服务器可供选择，它们拥有彼此的完整副本，所以你选择哪一个无关紧要，但最好记住上传密钥的原始服务器。请注意，新密钥上传后，服务器间可能要数小时才能完成同步。

# 复制 KeyID：gpg --list-key [你的邮箱] 这条命令将列出公钥信息，它包括KeyID，这是一串由数字字母组成的独一无二的字符。复制 KeyID，你将在下面命令中使用它。

# 上传密钥到服务器：gpg --send-key [keyID]

导出密钥

使用下面命令导出私钥，并在下一步中导入到电邮客户端中。将它储存在安全的地方，如果需要转移密钥，请保证以可信的方式传输，避免泄露私钥。使用下面命令导出密钥：

$ gpg --export-secret-keys -a [keyID] > my_secret_key.asc
$ gpg --export -a [keyID] > my_public_key.asc

创建吊销证书

你需要生成吊销证书，并把它保存在安全的地方（请参考第 6.C步了解如何安全保存吊销证书）。它能够在发生密钥丢失或密钥泄露时用到。此步骤是本指南的重要步骤，您将在第5 节里了解原因。

# 复制 KeyID：gpg --list-key [你的邮箱] 这条命令将列出公钥信息，它包括KeyID，这是一串由数字字母组成的独一无二的字符。复制 KeyID，你将在下面命令中使用它。

# 生成吊销证书：gpg --gen-revoke --output revoke.asc [keyID]

# 它将引导你输入吊销原因，我们建议选择1 = key has been compromised。

# 但你也可以不输入原因；将它留空，按回车键，确认选择。

第 3.a 步 配置电子邮件账户

完成邮件加密设置后，你就帮助增加了因特网上的加密流量。首先我们把密钥导入到电邮客户端，我们也将学习如何从服务器导入其他人的公钥，这样你就可以发送和接收加密邮件。

# 打开电邮客户端，选择“工具” →OpenPGP 密钥管理器

# 选择“文件” →从文件导入私钥

# 选择你在第 2.B 步导出保存的私钥文件

# 使用密码解锁

# 你会看到 “已成功导入 OpenPGP 密钥！” 的窗口确认导入成功

# 在 “账户设置” → “端到端加密”里，确认你的密钥已经导入，并选择将此密钥视为个人密钥。

第 4.a 步 发送公钥给爱德华

这一步很特别，因为你和真人通信时不需要做。在你的邮件程序菜单中，选择“工具” →“OpenPGP密钥管理器”。你应当看到你的密钥在弹窗的列表中。在你的密钥处右键，选择“通过电子邮件发送公钥”。这会创建一封草稿消息，就好像你点击了“撰写”按钮，在附件中会看到你的公钥。

收信人地址填写edward-zh@fsf.org。在邮件主题栏和正文里任意撰写内容。先别发送。

我们希望爱德华能够打开你的密钥文件，因此我们需要第一封特别邮件是未经加密的。请下拉菜单“安全”，选择不加密，将加密关闭。加密关闭后，点击发送。

爱德华可能需要两三分钟回复邮件。在这期间，你可以跳过前面的部分并阅读本指南善用加密章节。爱德华回复后，继续下面的步骤。从这里开始，你所要做的与真人通信时相同。

你打开爱德华的回复邮件，在使用私钥解密消息时，GnuPG 可能会提示要求输入密码。

第 4.b 步 发送一封测试加密邮件

获取爱德华的密钥

你需要爱德华的公钥才能给他发送加密邮件，因此你需要从密钥服务器下载它。有两种不同方式可以做到：

选项一 爱德华的公钥在它回复你的第一封邮件里。在邮件右侧，撰写区域的上方，你能够找到 OpenPGP按钮，旁边有锁和齿轮图标。点击它，选择“此消息是用您没有的密钥所签名的”旁边的寻找。爱德华密钥的细节将会显示。

选项二 打开 OpenPGP 密钥管理器，在密钥服务器选择在网上寻找密钥。输入爱德华电子邮箱，导入密钥。

接受 (未验证) 选项将这个你要添加到密钥管理器，现在它将用于向爱德华发送加密电邮和验证数字签名。

弹出窗口将确认是否导入爱德华密钥，你会看到这个密钥关联了许多邮箱。这没问题，你可以安全导入密钥。

因为你使用了爱德华的公钥加密邮件，解密则就要求爱德华的私钥。爱德华是唯一有它私钥的人，因此除了他，没人能解密。

给爱德华发送一封加密邮件

在你的邮件程序中写一封新的邮件，收信人地址填写edward-zh@fsf.org。在主题中填写“加密测试”或类似的词语，并在正文中写一些内容。

这次，在下拉菜单“安全”里选择要求加密 将加密开启。加密开启后，点击发送。

重要： 安全提示

即便你加密了邮件，主题行是不受加密的，因此不要在主题里填写私人信息。发送人和接收人的邮件地址也是不经过加密的，因此监控系统可以知道你在和谁通信。同时，监控代理将会知道你使用了GnuPG，即便它不知道你在说什么。当你发送附件时，可以选择是否加密，加密附件是独立于真实邮件的。

为了防范潜在的攻击，你可以关闭 HTML 格式，使用纯文本渲染正文。在 Icedove 和 Thunderbird 里，到 “查看” →“消息体为” →纯文本 可以做到这一点。

第 4.c 步 接收回信

当爱德华收到你的邮件，它会使用它的私钥去解密消息，并给你回复。

爱德华可能需要两三分钟回复邮件。在这期间，你可以跳过前面的部分并查阅本指南善用加密章节。

爱德华将用加密邮件给你回信，告知你的邮件已经收到并被解密。你的邮件客户端会自动解密爱德华的消息。

邮件里的 OpenPGP将会在锁形图标上显示绿色标记，表明消息已经加密。橙色警告表明密钥已经被接受但未经验证。如果你未接受密钥，你会看到小问号标记。点击提示按钮将引导你设置密钥属性。

第 4.d 步 发送一封测试签名邮件

GnuPG提供了对消息或文件签名的方式，验证它们的确来自于你，并且始终未被篡改。这些签名比笔头签名更强有力——因为无法被伪造，没有你的私钥就无法签名（这是保护私钥安全另一个的原因）。

你可以向任何人签名消息，因此让对方意识到你在使用 GnuPG——他们可以和你进行安全的通信——是个不错的主意。如果他们没有GnuPG，他们仍将有能力阅读你的消息并查看你的签名。如果他们有 GnuPG，他们将有能力验证你签名的真实性。

要想对发给爱德华的邮件签名，并撰写一些消息给他，点击紧邻锁形图标的铅笔图标，它会变成金黄色。你要是对消息签名，GnuPG可能会在你点击发送消息前询问你密码，这是因为签名需要解锁私钥。

在“账户设置” → “端到端加密”，你可以选择默认添加我的数字签名。

第 4.e 步 接收回信

当爱德华收到你的邮件，他将会使用你的公钥（你在第 3.A步发给他了）验证你发送的消息未经篡改，并以加密形式给你回复。

爱德华可能需要两三分钟回复邮件。在这期间，你可以跳过前面的部分并查阅本指南善用加密章节。

爱德华的回复会是加密的，因为他应加密尽加密。如果一切顺利，他会回复“你的签名已被验证”。如果你的测试签名邮件也是加密的，他会优先提及。

当你接收爱德华的邮件并打开它时，电邮程序会自动检测它是否使用你的公钥加密，接下来使用你的私钥解密消息。

第 5.a 步 签署密钥

在电邮菜单中，找到 OpenPGP 密钥管理器，右键爱德华的密钥，选择密钥属性。

在“您是否要接受”里，选择“接受，但我还未验证过是否为正确密钥”。

你刚刚有力地表达了“我信任爱德华的公钥，它的确属于爱德华”。由于爱德华是一个机器人，这对它并不意味着什么，但这是一个良好的实践。但对于真人，这很重要。在签名前检查 ID 章节阅读更多有关对其他人密钥签名的信息。

验证密钥：指纹和 ID

密钥的指纹可以确认其对应使用的公钥，指纹是像 F357AA1A5B1FA42CFD9FE52A9FF2194CC09A61E8（这是爱德华的密钥）的数字串。电邮程序菜单的 OpenPGP密钥管理，右键选择密钥属性，可以查看当前计算机中你和其他人的公钥指纹。在告诉他人你邮箱地址的同时，分享你的指纹是一个不错的实践，这样人们可以在从服务器下载你公钥的时候，再次检查下载的公钥是否正确。

你可能已经看到有人使用短 key ID 表示公钥。密钥管理窗口中，你可以直接看到 keyID。这八位字符曾经用于表示身份，现已经不再安全可靠。你需要检查完整的指纹，以验证你拥有对方正确的密钥。不幸的是，有人故意生成的后六位指纹与另一支密钥相同的指纹进行伪造欺骗，这种情况是很常见的。

重要： 签署密钥时需要考虑什么

在签署密钥前，你需要严格确认密钥是属于他的，的确是他自己所声称的那个人。这种确信来自逐步地沟通交流，以及目睹了他与其他人的交流过程。任何时候签署密钥都应该要求查看完整的公钥指纹，而不只是短key ID。如果你认为，所要签署人的公钥相当重要，可以要求他出示身份证明，确保身份证上的姓名与公钥的姓名相符。

何时该加密？何时该签名？

加密消息是多多益善的。如果你只是偶然加密邮件，突兀的加密消息就像给监控系统发出警报。如果全部邮件都是加密的，监控人员将不知道从何处开始——这不是说加密部分邮件毫无帮助——它使大规模监控变得困难，这是重要的开始。

除非你不想暴露身份（这还要求其他保护措施），每一封邮件都不签名是没有理由的，无论你是否加密。除了允许 GnuPG验证消息确实来自于你，签名是一种非侵入性的方式，提醒别人你在使用 GnuPG，并表示对安全通信的支持。如果你经常给不熟悉 GnuPG的人发送签名消息，在你的标准邮件签名（这里的签名指的是文字，而非密码学签名）中附上本指南的链接将会不错。

警惕非法密钥

GnuPG 能够使邮件更安全，但仍要小心非法密钥，它可能导致消息落入坏人之手。使用非法密钥加密的邮件可能能被监控程序读取。

在邮件程序里，回到爱德华发给你的第一封加密邮件。因为爱德华用你的公钥加密了它，在 OpenPG 按钮上方会有一个绿色标记。

使用 GnuPG 时，要养成看通知条的习惯。如果你收到的邮件是用不受信任的密钥签名的，程序会提醒你。

备份吊销证书到安全的地方

还记得你何时生成密钥和保存 GnuPG生成的吊销证书的吗？该将证书备份到安全的数字储存设备上了——理想的地方是闪存盘、磁盘和硬盘，它们存放在家中安全的地方——而不是你随身携带的设备。我们已知的最安全方式是将吊销证书打印出来，保存在安全地方。

如果你的私钥丢失或失窃，你需要这张证书文件让人们知道你不再使用这对密钥对。

重要： 如果某人获得了你的私钥，要迅速行动

如果你丢失了私钥或是某人取得了它（比如你的计算机失窃或是被入侵），在其他人使用你私钥阅读你的加密邮件或是伪造签名前，立即吊销是非常重要的。本指南不包含如何吊销密钥，但你可以遵循这些指示。在你吊销完成后，生成新的密钥对，并给所有使用你的密钥的人发送邮件，并附上新密钥的拷贝，确保他们知道发生了什么。

网页邮箱和 GnuPG

当你使用网页浏览器获取你的邮件，那么你使用的是网页邮箱，它是一个直接储存在网站里的电子邮件程序。和网页邮箱不同，你的桌面邮件程序是运行在你自己的计算机上。即使网页邮箱无法解密加密过的邮件，它仍然会以加密形式显示出来。如果你常用的是网页邮箱，当你收到一封混乱的电子邮件时，你应当知道去打开自己的电子邮件客户端。

将公钥作为网络身份的组成部分

在电子邮件签名里加入你的公钥指纹，给至少五位朋友撰写邮件，告诉他们你刚刚完成了 GnuPG的设置，以及你的公钥指纹是什么。将本指南链接发送给他们，让他们加入你的队伍。别忘了还有一幅很棒的信息图值得分享。

在所有显示你邮箱地址的地方，附上公钥指纹。这里有一些好地方：你的电子邮件签名（这里的签名指的是文字，而非密码学签名）、社交媒体简历、博客、网站和商务名片。在自由软件基金会，我们把它放在了雇员页面。我们需要创造一种文化：当我们看到电子邮箱地址却没有看到公钥指纹，就好像缺少了某样东西。