9581ea681f1026d2ba43a23f4f0b5da82bb21134
[gnupg-doc.git] / web / documentation / manpage.org
1 #+TITLE: GnuPG - gpg man page
2 #+STARTUP: showall
3 #+SETUPFILE: "../share/setup.inc"
4
5 * gpg
6
7 ** Name
8
9 gpg -- encryption and signing tool
10
11 ** Synopsis
12
13 #+BEGIN_EXAMPLE
14     gpg
15      [--homedir name]
16      [--options file]
17      [options]
18      command
19      [args]
20
21 #+END_EXAMPLE
22
23 ** DESCRIPTION
24
25 *gpg* is the main program for the GnuPG system.
26
27 This man page does only list the commands and options available. For a
28 more verbose documentation get the GNU Privacy Handbook (GPH), which is
29 available at http://www.gnupg.org/gph/ . You will find a list of HOWTO
30 documents at http://www.gnupg.org/docs.html .
31
32 ** COMMANDS
33
34 *gpg* recognizes these commands:
35
36 -  -s, --sign :: Make a signature. This command may be combined with
37    --encrypt.
38
39 -  --clearsign :: Make a clear text signature.
40
41 -  -b, --detach-sign :: Make a detached signature.
42
43 -  -e, --encrypt :: Encrypt data. This option may be combined with
44    --sign.
45
46 -  -c, --symmetric :: Encrypt with symmetric cipher only This command
47    asks for a passphrase.
48
49 -  --store :: Store only (make a simple RFC1991 packet).
50
51 -  --decrypt [=file=] :: Decrypt =file= (or stdin if no file is
52    specified) and write it to stdout (or the file specified with
53    --output). If the decrypted file is signed, the signature is also
54    verified. This command differs from the default operation, as it
55    never writes to the filename which is included in the file and it
56    rejects files which don't begin with an encrypted message.
57
58 -  --verify [[=sigfile=] [=signed-files=]] :: Assume that =sigfile= is a
59    signature and verify it without generating any output. With no
60    arguments, the signature packet is read from stdin (it may be a
61    detached signature when not used in batch mode). If only a sigfile is
62    given, it may be a complete signature or a detached signature, in
63    which case the signed stuff is expected in a file without the ".sig"
64    or ".asc" extension (if such a file does not exist it is expected at
65    stdin; use a single dash ("-") as filename to force a read from
66    stdin). With more than 1 argument, the first should be a detached
67    signature and the remaining files are the signed stuff.
68
69 -  --verify-files [=files=] :: This is a special version of the --verify
70    command which does not work with detached signatures. The command
71    expects the files to bee verified either on the commandline or reads
72    the filenames from stdin; each anem muts be on separate line. The
73    command is intended for quick checking of many files.
74
75 -  --list-keys [=names=], --list-public-keys [=names=] :: List all keys
76    from the public keyrings, or just the ones given on the command line.
77
78 -  --list-secret-keys [=names=] :: List all keys from the secret
79    keyrings, or just the ones given on the command line.
80
81 -  --list-sigs [=names=] :: Same as --list-keys, but the signatures are
82    listed too.
83
84 -  --check-sigs [=names=] :: Same as --list-sigs, but the signatures are
85    verified.
86
87 -  --fingerprint [=names=] :: List all keys with their fingerprints.
88    This is the same output as --list-keys but with the additional output
89    of a line with the fingerprint. May also be combined with --list-sigs
90    or --check-sigs. If this command is given twice, the fingerprints of
91    all secondary keys are listed too.
92
93 -  --list-packets :: List only the sequence of packets. This is mainly
94    useful for debugging.
95
96 -  --gen-key :: Generate a new key pair. This command is normally only
97    used interactive.
98
99    There is an experimental feature which allows to create keys in batch
100    mode. See the file =doc/DETAILS= in the source distribution on how to
101    use this.
102
103 -  --edit-key =name= :: Present a menu which enables you to do all key
104    related tasks:
105
106    -  sign :: Make a signature on key of user =name= If the key is not
107       yet signed by the default user (or the users given with -u), the
108       program displays the information of the key again, together with
109       its fingerprint and asks whether it should be signed. This
110       question is repeated for all users specified with -u.
111
112    -  lsign :: Same as --sign but the signature is marked as
113       non-exportable and will therefore never be used by others. This
114       may be used to make keys valid only in the local environment.
115
116    -  revsig :: Revoke a signature. GnuPG asks for every signature which
117       has been done by one of the secret keys, whether a revocation
118       certificate should be generated.
119
120    -  trust :: Change the owner trust value. This updates the trust-db
121       immediately and no save is required.
122
123    -  disable, enable :: Disable or enable an entire key. A disabled key
124       can normally not be used for encryption.
125
126    -  adduid :: Create an alternate user id.
127
128    -  deluid :: Delete an user id.
129
130    -  addkey :: Add a subkey to this key.
131
132    -  delkey :: Remove a subkey.
133
134    -  revkey :: Revoke a subkey.
135
136    -  expire :: Change the key expiration time. If a key is selected,
137       the time of this key will be changed. With no selection the key
138       expiration of the primary key is changed.
139
140    -  passwd :: Change the passphrase of the secret key.
141
142    -  uid =n= :: Toggle selection of user id with index =n=. Use 0 to
143       deselect all.
144
145    -  key =n= :: Toggle selection of subkey with index =n=. Use 0 to
146       deselect all.
147
148    -  check :: Check all selected user ids.
149
150    -  pref :: List preferences.
151
152    -  toggle :: Toggle between public and secret key listing.
153
154    -  save :: Save all changes to the key rings and quit.
155
156    -  quit :: Quit the program without updating the key rings.
157
158    The listing shows you the key with its secondary keys and all user
159    ids. Selected keys or user ids are indicated by an asterisk. The
160    trust value is displayed with the primary key: the first is the
161    assigned owner trust and the second is the calculated trust value.
162    Letters are used for the values:
163
164    -  - :: No ownertrust assigned / not yet calculated.
165
166    -  e :: Trust calculation has failed.
167
168    -  q :: Not enough information for calculation.
169
170    -  n :: Never trust this key.
171
172    -  m :: Marginally trusted.
173
174    -  f :: Fully trusted.
175
176    -  u :: Ultimately trusted.
177
178 -  --sign-key =name= :: Sign a public key with you secret key. This is a
179    shortcut version of the subcommand "sign" from --edit.
180
181 -  --lsign-key =name= :: Sign a public key with you secret key but mark
182    it as non-exportable. This is a shortcut version of the subcommand
183    "lsign" from --edit.
184
185 -  --trusted-key =long key ID= :: Assume that the specified key (which
186    must be given as a full 8 byte key ID) is as trustworthy as one of
187    your own secret keys. This option is useful if you don't want to keep
188    your secret keys (or one of them) online but still be able to check
189    the validity of a given recipient's or signator's key.
190
191 -  --delete-key =name= :: Remove key from the public keyring
192
193 -  --delete-secret-key =name= :: Remove key from the secret and public
194    keyring
195
196 -  --gen-revoke :: Generate a revocation certificate for the complete
197    key. To revoke a subkey or a signature, use the --edit command.
198
199 -  --export [=names=] :: Either export all keys from all keyrings
200    (default keyrings and those registered via option --keyring), or if
201    at least one name is given, those of the given name. The new keyring
202    is written to stdout or to the file given with option "output". Use
203    together with --armor to mail those keys.
204
205 -  --send-keys [=names=] :: Same as --export but sends the keys to a
206    keyserver. Option --keyserver must be used to give the name of this
207    keyserver. Don't send your complete keyring to a keyserver - select
208    only those keys which are new or changed by you.
209
210 -  --export-all [=names=] :: Same as --export, but does also export keys
211    which are not compatible to OpenPGP.
212
213 -  --export-secret-keys [=names=], --export-secret-subkeys
214    [=names=] :: Same as --export, but does export the secret keys. This
215    is normally not very useful and a security risk. the second form of
216    the command has the special property to render the secret part of the
217    primary key useless; this is a GNU extension to OpenPGP and other
218    implementations can not be expected to successful import such a key.
219
220 -  --import [=files=], --fast-import [=files=] :: Import/merge keys.
221    This adds the given keys to the keyring. The fast version does not
222    build the trustdb; this can be done at any time with the command
223    --update-trustdb.
224
225    There are a few other options which control how this command works.
226    Most notable here is the --merge-only options which does not insert
227    new keys but does only the merging of new signatures, user-IDs and
228    subkeys.
229
230 -  --recv-keys =key IDs= :: Import the keys with the given key IDs from
231    a HKP keyserver. Option --keyserver must be used to give the name of
232    this keyserver.
233
234 -  --export-ownertrust :: List the assigned ownertrust values in ASCII
235    format for backup purposes
236
237 -  --import-ownertrust [=files=] :: Update the trustdb with the
238    ownertrust values stored in =files= (or stdin if not given); existing
239    values will be overwritten.
240
241 -  --print-md =algo= [=files=] :: Print message digest of algorithm ALGO
242    for all given files of stdin. If "*" is used for the algorithm,
243    digests for all available algorithms are printed.
244
245 -  --gen-random =0|1|2= [=count=] :: Emit COUNT random bytes of the
246    given quality level. If count is not given or zero, an endless
247    sequence of random bytes will be emitted. PLEASE, don't use this
248    command unless you know what you are doing, it may remove precious
249    entropy from the system!
250
251 -  --gen-prime =mode= =bits= [=qbits=] :: Use the source, Luke :-). The
252    output format is still subject to change.
253
254 -  --version :: Print version information along with a list of supported
255    algorithms.
256
257 -  --warranty :: Print warranty information.
258
259 -  -h, --help :: Print usage information. This is a really long list
260    even it does list not all options.
261
262 ** OPTIONS
263
264 Long options can be put in an options file (default "~/.gnupg/options").
265 Do not write the 2 dashes, but simply the name of the option and any
266 required arguments. Lines with a hash as the first non-white-space
267 character are ignored. Commands may be put in this file too, but that
268 does not make sense.
269
270 *gpg* recognizes these options:
271
272 -  -a, --armor :: Create ASCII armored output.
273
274 -  -o, --output =file= :: Write output to =file=.
275
276 -  -u, --local-user =name= :: Use =name= as the user ID to sign. This
277    option is silently ignored for the list commands, so that it can be
278    used in an options file.
279
280 -  --default-key =name= :: Use =name= as default user ID for signatures.
281    If this is not used the default user ID is the first user ID found in
282    the secret keyring.
283
284 -  -r, --recipient =name=,  :: Encrypt for user id =name=. If this
285    option is not specified, GnuPG asks for the user-id unless
286    --default-recipient is given
287
288 -  --default-recipient =name= :: Use =name= as default recipient if
289    option --recipient is not used and don't ask if this is a valid one.
290    =name= must be a non empty.
291
292 -  --default-recipient-self :: Use the default key as default recipient
293    if option --recipient is not used and don't ask if this is a valid
294    one. The default key is the first one from the secret keyring or the
295    one set with --default-key.
296
297 -  --no-default-recipient :: Reset --default-recipient and
298    --default-recipient-self.
299
300 -  --encrypt-to =name= :: Same as --recipient but this one is intended
301    for in the options file and may be used together with an own user-id
302    as an "encrypt-to-self". These keys are only used when there are
303    other recipients given either by use of --recipient or by the asked
304    user id. No trust checking is performed for these user ids and even
305    disabled keys can be used.
306
307 -  --no-encrypt-to :: Disable the use of all --encrypt-to keys.
308
309 -  -v, --verbose :: Give more information during processing. If used
310    twice, the input data is listed in detail.
311
312 -  -q, --quiet :: Try to be as quiet as possible.
313
314 -  -z =n= :: Set compression level to =n=. A value of 0 for =n= disables
315    compression. Default is to use the default compression level of zlib
316    (normally 6).
317
318 -  -t, --textmode :: Use canonical text mode. If -t (but not --textmode)
319    is used together with armoring and signing, this enables clearsigned
320    messages. This kludge is needed for PGP compatibility; normally you
321    would use --sign or --clearsign to selected the type of the
322    signature.
323
324 -  -n, --dry-run :: Don't make any changes (this is not completely
325    implemented).
326
327 -  -i, --interactive :: Prompt before overwriting any files.
328
329 -  --batch :: Use batch mode. Never ask, do not allow interactive
330    commands.
331
332 -  --no-tty :: Make sure that the TTY (terminal) is never used for any
333    output. This option is needed in some cases because GnuPG sometimes
334    prints warnings to the TTY if if --batch is used.
335
336 -  --no-batch :: Disable batch mode. This may be of use if --batch is
337    enabled from an options file.
338
339 -  --yes :: Assume "yes" on most questions.
340
341 -  --no :: Assume "no" on most questions.
342
343 -  --always-trust :: Skip key validation and assume that used keys are
344    always fully trusted. You won't use this unless you have installed
345    some external validation scheme.
346
347 -  --keyserver =name= :: Use =name= to lookup keys which are not yet in
348    your keyring. This is only done while verifying messages with
349    signatures. The option is also required for the command --send-keys
350    to specify the keyserver to where the keys should be send. All
351    keyservers synchronize with each other - so there is no need to send
352    keys to more than one server. Using the command "host -l pgp.net |
353    grep wwwkeys" gives you a list of keyservers. Because there is load
354    balancing using round-robin DNS you may notice that you get different
355    key servers.
356
357 -  --no-auto-key-retrieve :: This option disables the automatic
358    retrieving of keys from a keyserver while verifying signatures. This
359    option allows to keep a keyserver in the options file or the
360    --send-keys and --recv-keys commands.
361
362 -  --honor-http-proxy :: Try to access the keyserver over the proxy set
363    with the variable "http\_proxy".
364
365 -  --keyring =file= :: Add =file= to the list of keyrings. If =file=
366    begins with a tilde and a slash, these are replaced by the HOME
367    directory. If the filename does not contain a slash, it is assumed to
368    be in the home-directory ("~/.gnupg" if --homedir is not used). The
369    filename may be prefixed with a scheme:
370
371    "gnupg-ring:" is the default one.
372
373    "gnupg-gdbm:" may be used for a GDBM ring. Note that GDBM is
374    experimental and likely to be removed in future versions.
375
376    It might make sense to use it together with --no-default-keyring.
377
378 -  --secret-keyring =file= :: Same as --keyring but for the secret
379    keyrings.
380
381 -  --homedir =directory= :: Set the name of the home directory to
382    =directory= If this option is not used it defaults to "~/.gnupg". It
383    does not make sense to use this in a options file. This also
384    overrides the environment variable "GNUPGHOME".
385
386 -  --charset =name= :: Set the name of the native character set. This is
387    used to convert some strings to proper UTF-8 encoding. Valid values
388    for =name= are:
389
390    -  iso-8859-1 :: This is the default Latin 1 set.
391
392    -  iso-8859-2 :: The Latin 2 set.
393
394    -  koi8-r :: The usual Russian set (rfc1489).
395
396 -  --utf8-strings, --no-utf8-strings :: Assume that the arguments are
397    already given as UTF8 strings. The default (--no-utf8-strings) is to
398    assume that arguments are encoded in the character set as specified
399    by --charset. These options effects all following arguments. Both
400    options may used multiple times.
401
402 -  --options =file= :: Read options from =file= and do not try to read
403    them from the default options file in the homedir (see --homedir).
404    This option is ignored if used in an options file.
405
406 -  --no-options :: Shortcut for "--options /dev/null". This option is
407    detected before an attempt to open an option file.
408
409 -  --load-extension =name= :: Load an extension module. If =name= does
410    not contain a slash it is searched in "/usr/local/lib/gnupg" See the
411    manual for more information about extensions.
412
413 -  --debug =flags= :: Set debugging flags. All flags are or-ed and
414    =flags= may be given in C syntax (e.g. 0x0042).
415
416 -  --debug-all :: Set all useful debugging flags.
417
418 -  --status-fd =n= :: Write special status strings to the file
419    descriptor =n=. See the file DETAILS in the documentation for a
420    listing of them.
421
422 -  --logger-fd =n= :: Write log output to file descriptor =n= and not to
423    stderr.
424
425 -  --no-comment :: Do not write comment packets. This option affects
426    only the generation of secret keys. Please note, that this has
427    nothing to do with the comments in clear text signatures.
428
429 -  --comment =string= :: Use =string= as comment string in clear text
430    signatures. To suppress those comment strings entirely, use an empty
431    string here.
432
433 -  --default-comment :: Force to write the standard comment string in
434    clear text signatures. Use this to overwrite a --comment from a
435    config file.
436
437 -  --no-version :: Omit the version string in clear text signatures.
438
439 -  --emit-version :: Force to write the version string in clear text
440    signatures. Use this to overwrite a previous --no-version from a
441    config file.
442
443 -  -N, --notation-data =name=value= :: Put the name value pair into the
444    signature as notation data. =name= must consists only of alphanumeric
445    characters, digits or the underscore; the first character must not be
446    a digit. =value= may be any printable string; it will encoded in
447    UTF8, so sou should have check that your --charset is set right. If
448    you prefix =name= with an exclamation mark, the notation data will be
449    flagged as critical (rfc2440:5.2.3.15).
450
451 -  --set-policy-url =string= :: Use =string= as Policy URL for
452    signatures (rfc2440:5.2.3.19). If you prefix it with an exclamation
453    mark, the policy URL packet will be flagged as critical.
454
455 -  --set-filename =string= :: Use =string= as the name of file which is
456    stored in messages.
457
458 -  --use-embedded-filename :: Try to create a file with a name as
459    embedded in the data. This can be a dangerous option as it allows to
460    overwrite files.
461
462 -  --completes-needed =n= :: Number of completely trusted users to
463    introduce a new key signer (defaults to 1).
464
465 -  --marginals-needed =n= :: Number of marginally trusted users to
466    introduce a new key signer (defaults to 3)
467
468 -  --max-cert-depth =n= :: Maximum depth of a certification chain
469    (default is 5).
470
471 -  --cipher-algo =name= :: Use =name= as cipher algorithm. Running the
472    program with the command --version yields a list of supported
473    algorithms. If this is not used the cipher algorithm is selected from
474    the preferences stored with the key.
475
476 -  --digest-algo =name= :: Use =name= as message digest algorithm.
477    Running the program with the command --version yields a list of
478    supported algorithms. Please note that using this option may violate
479    the OpenPGP requirement, that a 160 bit hash is to be used for DSA.
480
481 -  --s2k-cipher-algo =name= :: Use =name= as the cipher algorithm used
482    to protect secret keys. The default cipher is BLOWFISH. This cipher
483    is also used for conventional encryption if --cipher-algo is not
484    given.
485
486 -  --s2k-digest-algo =name= :: Use =name= as the digest algorithm used
487    to mangle the passphrases. The default algorithm is RIPE-MD-160. This
488    digest algorithm is also used for conventional encryption if
489    --digest-algo is not given.
490
491 -  --s2k-mode =n= :: Selects how passphrases are mangled. If =n= is 0 a
492    plain passphrase (which is not recommended) will be used, a 1
493    (default) adds a salt to the passphrase and a 3 iterates the whole
494    process a couple of times. Unless --rfc1991 is used, this mode is
495    also used for conventional encryption.
496
497 -  --compress-algo =n= :: Use compress algorithm =n=. Default is 2 which
498    is RFC1950 compression. You may use 1 to use the old zlib version
499    (RFC1951) which is used by PGP. The default algorithm may give better
500    results because the window size is not limited to 8K. If this is not
501    used the OpenPGP behavior is used, i.e. the compression algorithm is
502    selected from the preferences; note, that this can't be done if you
503    do not encrypt the data.
504
505 -  --disable-cipher-algo =name= :: Never allow the use of =name= as
506    cipher algorithm. The given name will not be checked so that a later
507    loaded algorithm will still get disabled.
508
509 -  --disable-pubkey-algo =name= :: Never allow the use of =name= as
510    public key algorithm. The given name will not be checked so that a
511    later loaded algorithm will still get disabled.
512
513 -  --throw-keyid :: Do not put the keyid into encrypted packets. This
514    option hides the receiver of the message and is a countermeasure
515    against traffic analysis. It may slow down the decryption process
516    because all available secret keys are tried.
517
518 -  --not-dash-escaped :: This option changes the behavior of cleartext
519    signatures so that they can be used for patch files. You should not
520    send such an armored file via email because all spaces and line
521    endings are hashed too. You can not use this option for data which
522    has 5 dashes at the beginning of a line, patch files don't have this.
523    A special armor header line tells GnuPG about this cleartext
524    signature option.
525
526 -  --escape-from-lines :: Because some mailers change lines starting
527    with "From " to "<From " it is good to handle such lines in a special
528    way when creating cleartext signatures. All other PGP versions do it
529    this way too. This option is not enabled by default because it would
530    violate rfc2440.
531
532 -  --passphrase-fd =n= :: Read the passphrase from file descriptor =n=.
533    If you use 0 for =n=, the passphrase will be read from stdin. This
534    can only be used if only one passphrase is supplied. Don't use this
535    option if you can avoid it.
536
537 -  --command-fd =n= :: This is a replacement for the depreciated
538    shared-memory IPC mode. If this option is enabled, user input on
539    questions is not expected from the TTY but from the given file
540    descriptor. It should be used together with --status-fd. See the file
541    doc/DETAILS in the source distribution for details on how to use it.
542
543 -  --rfc1991 :: Try to be more RFC1991 (PGP 2.x) compliant.
544
545 -  --openpgp :: Reset all packet, cipher and digest options to OpenPGP
546    behavior. Use this option to reset all previous options like
547    --rfc1991, --force-v3-sigs, --s2k-*, --cipher-algo, --digest-algo and
548    --compress-algo to OpenPGP compliant values. All PGP workarounds are
549    also disabled.
550
551 -  --force-v3-sigs :: OpenPGP states that an implementation should
552    generate v4 signatures but PGP 5.x recognizes v4 signatures only on
553    key material. This options forces v3 signatures for signatures on
554    data.
555
556 -  --force-mdc :: Force the use of encryption with appended manipulation
557    code. This is always used with the newer cipher (those with a
558    blocksize greater than 64 bit). This option might not be implemented
559    yet.
560
561 -  --allow-non-selfsigned-uid :: Allow the import of keys with user IDs
562    which are not self-signed. This is only allows the import - key
563    validation will fail and you have to check the validity of the key my
564    other means. This hack is needed for some German keys generated with
565    pgp 2.6.3in. You should really avoid using it, because OpenPGP has
566    better mechanics to do separate signing and encryption keys.
567
568 -  --allow-freeform-uid :: Disable all checks on the form of the user ID
569    while generating a new one. This option should only be used in very
570    special environments as it does not ensure the de-facto standard
571    format of user IDs.
572
573 -  --ignore-time-conflict :: GnuPG normally checks that the timestamps
574    associated with keys and signatures have plausible values. However,
575    sometimes a signature seems to be older than the key due to clock
576    problems. This option makes these checks just a warning.
577
578 -  --lock-once :: Lock the databases the first time a lock is requested
579    and do not release the lock until the process terminates.
580
581 -  --lock-multiple :: Release the locks every time a lock is no longer
582    needed. Use this to override a previous --lock-once from a config
583    file.
584
585 -  --lock-never :: Disable locking entirely. This option should be used
586    only in very special environments, where it can be assured that only
587    one process is accessing those files. A bootable floppy with a
588    standalone encryption system will probably use this. Improper usage
589    of this option may lead to data and key corruption.
590
591 -  --no-random-seed-file :: GnuPG uses a file to store it's internal
592    random pool over invocations. This makes random generation faster;
593    however sometimes write operations are not desired. This option can
594    be used to achive that with the cost of slower random generation.
595
596 -  --no-verbose :: Reset verbose level to 0.
597
598 -  --no-greeting :: Suppress the initial copyright message but do not
599    enter batch mode.
600
601 -  --no-secmem-warning :: Suppress the warning about "using insecure
602    memory".
603
604 -  --no-armor :: Assume the input data is not in ASCII armored format.
605
606 -  --no-default-keyring :: Do not add the default keyrings to the list
607    of keyrings.
608
609 -  --skip-verify :: Skip the signature verification step. This may be
610    used to make the decryption faster if the signature verification is
611    not needed.
612
613 -  --with-colons :: Print key listings delimited by colons.
614
615 -  --with-key-data :: Print key listings delimited by colons and print
616    the public key data.
617
618 -  --with-fingerprint :: Same as the command --fingerprint but changes
619    only the format of the output and may be used together with another
620    command.
621
622 -  --fast-list-mode :: Changes the output of the list commands to work
623    faster; this is achieved by leaving some parts empty. Some
624    applications don't need the user ID and the trust information given
625    in the listings. By using this options they can get a faster listing.
626    The excact behaviour of this option may change in future versions.
627
628 -  --list-only :: Changes the behaviour of some commands. This is like
629    --dry-run but different in some cases. The semantic of this command
630    may be extended in the future. Currently it does only skip the actual
631    decryption pass and therefore enables a fast listing of the
632    encryption keys.
633
634 -  --no-literal :: This is not for normal use. Use the source to see for
635    what it might be useful.
636
637 -  --set-filesize :: This is not for normal use. Use the source to see
638    for what it might be useful.
639
640 -  --emulate-md-encode-bug :: GnuPG versions prior to 1.0.2 had a bug in
641    the way a signature was encode. This options enables a workaround by
642    checking faulty signatures again with the encoding used in old
643    versions. This may only happen for ElGamal signatures which are not
644    widely used.
645
646 -  --show-session-key :: Display the session key used for one message.
647    See --override-session-key for the counterpart of this option.
648
649    We think that Key-Escrow is a Bad Thing; however the user should have
650    the freedom to decide whether to go to prison or to reveal the
651    content of one specific message without compromising all messages
652    ever encrypted for one secret key. DON'T USE IT UNLESS YOU ARE REALLY
653    FORCED TO DO SO.
654
655 -  --override-session-key =string= :: Don't use the public key but the
656    session key =string=. The format of this string is the same as the
657    one printed by --show-session-key. This option is normally not used
658    but comes handy in case someone forces you to reveal the content of
659    an encrypted message; using this option you can do this without
660    handing out the secret key.
661
662 -  --merge-only :: Don't insert new keys into the keyrings while doing
663    an import.
664
665 -  --try-all-secrets :: Don't look at the key ID as stored in the
666    message but try all secret keys in turn to find the right decryption
667    key. This option forces the behaviour as used by anonymous recipients
668    (created by using --throw-keyid) and might come handy in case where
669    an encrypted message contains a bogus key ID.
670
671 ** How to specify a user ID
672
673 There are different ways on how to specify a user ID to GnuPG; here are
674 some examples:
675
676 -   :: Used to locate the default home directory.
677
678 -  234567C4, 0F34E556E, 01347A56A, 0xAB123456 :: Here the key ID is
679    given in the usual short form.
680
681 -  234AABBCC34567C4, 0F323456784E56EAB, 01AB3FED1347A5612,
682    0x234AABBCC34567C4 :: Here the key ID is given in the long form as
683    used by OpenPGP.
684
685 -  1234343434343434C434343434343434,
686    123434343434343C3434343434343734349A3434,
687    0E12343434343434343434EAB3484343434343434,
688    0xE12343434343434343434EAB3484343434343434 :: The best way to specify
689    a key ID is by using the fingerprint of the key. This avoids any
690    ambiguities in case that there are duplicated key IDs (which are
691    really rare for the long key IDs).
692
693 -  =Heinrich Heine <heinrichh@uni-duesseldorf.de> :: Using an exact to
694    match string. The equal sign indicates this.
695
696 -  <heinrichh@uni-duesseldorf.de> :: Using the email address part which
697    must match exactly. The left angle bracket indicates this email
698    address mode.
699
700 -  +Heinrich Heine duesseldorf :: All words must match exactly (not case
701    sensitive) but can appear in any order in the user ID. Words are any
702    sequences of letters, digits, the underscore and all characters with
703    bit 7 set.
704
705 -  #34 :: Using the Local ID. This is a very low level method and should
706    only be used by applications which really need it. The hash character
707    indicates this method. An application should not assume that this is
708    only a number.
709
710 -  Heine, *Heine :: By case insensitive substring matching. This is the
711    default mode but applications may want to explicitely indicate this
712    by putting the asterisk in front.
713
714 ** RETURN VALUE
715
716 The program returns 0 if everything was fine, 1 if at least a signature
717 was bad, and other error codes for fatal errors.
718
719 ** EXAMPLES
720
721 -  gpg -se -r =Bob= =file= :: sign and encrypt for user Bob
722
723 -  gpg --clearsign =file= :: make a clear text signature
724
725 -  gpg -sb =file= :: make a detached signature
726
727 -  gpg --list-keys =user_ID= :: show keys
728
729 -  gpg --fingerprint =user_ID= :: show fingerprint
730
731 -  gpg --verify =pgpfile=, gpg --verify =sigfile= [=files=] :: Verify
732    the signature of the file but do not output the data. The second form
733    is used for detached signatures, where =sigfile= is the detached
734    signature (either ASCII armored of binary) and [=files=] are the
735    signed data; if this is not given the name of the file holding the
736    signed data is constructed by cutting off the extension (".asc" or
737    ".sig") of =sigfile= or by asking the user for the filename.
738
739 ** ENVIRONMENT
740
741 -  HOME :: Used to locate the default home directory.
742
743 -  GNUPGHOME :: If set directory used instead of "~/.gnupg".
744
745 -  http\_proxy :: Only honored when the option --honor-http-proxy is
746    set.
747
748 ** FILES
749
750 -  ~/.gnupg/secring.gpg :: The secret keyring
751
752 -  ~/.gnupg/secring.gpg.lock :: and the lock file
753
754 -  ~/.gnupg/pubring.gpg :: The public keyring
755
756 -  ~/.gnupg/pubring.gpg.lock :: and the lock file
757
758 -  ~/.gnupg/trustdb.gpg :: The trust database
759
760 -  ~/.gnupg/trustdb.gpg.lock :: and the lock file
761
762 -  ~/.gnupg/random\_seed :: used to preserve the internal random pool
763
764 -  ~/.gnupg/options :: May contain options
765
766 -  /usr[/local]/share/gnupg/options.skel :: Skeleton options file
767
768 -  /usr[/local]/lib/gnupg/ :: Default location for extensions
769
770 ** WARNINGS
771
772 Use a *good* password for your user account and a *good* passphrase to
773 protect your secret key. This passphrase is the weakest part of the
774 whole system. Programs to do dictionary attacks on your secret keyring
775 are very easy to write and so you should protect your "~/.gnupg/"
776 directory very well.
777
778 Keep in mind that, if this program is used over a network (telnet), it
779 is *very* easy to spy out your passphrase!
780
781 ** BUGS
782
783 On many systems this program should be installed as setuid(root). This
784 is necessary to lock memory pages. Locking memory pages prevents the
785 operating system from writing memory pages to disk. If you get no
786 warning message about insecure memory 3our operating system supports
787 locking without being root. The program drops root privileges as soon as
788 locked memory is allocated.