Merged Top directory of NewPG with GnuPG.
[gnupg.git] / README
diff --git a/README b/README
index f25ff6f..93dc1c8 100644 (file)
--- a/README
+++ b/README
------BEGIN PGP SIGNED MESSAGE-----
+NewPG is a temporary protect to work on GnuPG extensions.  It will be
+merged into the regular GnuPG sources for a GnuPG 2.0 release.
 
-                 GnuPG - The GNU Privacy Guard
-                -------------------------------
-                         Version 0.4
+jnlib/  utility functions
+assuan/ assuan protocol library
+kbx/    keybox library
+sm/     the gpgsm program
+agent/  the gpg-agent
+scd/    the smartcard daemon
 
-    As you can see from the version number, the program may have some
-    bugs and some features may not work at all - please report this to
-    the mailing list.
+Libksba and Libgcrypt are required to build it.  
 
-    On a Linux box (version 2.x.x, alpha or x86 CPU) it should
-    work reliably.  You may create your key on such a machine and
-    use it.  Please verify the tar file; there is a PGP and a GnuPG
-    signature available. My PGP 2 key is well known and published in
-    the "Global Trust Register for 1998", ISBN 0-9532397-0-5.
+Assuan and Keybox are both designed to be source include-able.
 
-    I have included my pubring as "g10/pubring.asc", which contains
-    the key used to make GnuPG signatures:
-    "pub  1024D/57548DCD 1998-07-07 Werner Koch (gnupg sig) <dd9jn@gnu.org>"
-    "Key fingerprint = 6BD9 050F D8FC 941B 4341  2DCC 68B7 AB89 5754 8DCD"
+A texinfo manual `gnupg.info' will get installed.  Some commands and
+options given below.
 
-    Old version of gnupg are signed with this key:
-    "pub  1312G/FF3EAA0B 1998-02-09 Werner Koch <wk@isil.d.shuttle.de>"
-    "Key fingerprint = 8489 6CD0 1851 0E33 45DA  CD67 036F 11B8 FF3E AA0B"
 
-    My usual key is now:
-    "pub  1024D/621CC013 1998-07-07 Werner Koch <werner.koch@guug.de>"
-    "Key fingerprint = ECAF 7590 EB34 43B5 C7CF  3ACB 6C7E E1B8 621C C013"
+COMMANDS
+========
 
-    You may add it to your GnuPG pubring and use it in the future to
-    verify new releases.  Because you verified this README file and
-    _checked_that_it_is_really_my PGP2 key 0C9857A5, you can be sure
-    that the above fingerprints are correct.
+gpgsm:
+------
 
-    Please subscribe to g10@net.lut.ac.uk by sending a mail with
-    the word "subscribe" in the body to "g10-request@net.lut.ac.uk".
-    This mailing is closed (only subscribers can post) to avoid spam.
+--learn-card
 
-    See the file COPYING for copyright and warranty information.
+   Read tinformation about the private keys from the smartcard and
+   import the certificates from there.
 
-    Due to the fact that GnuPG does not use use any patented algorithm,
-    it cannot be compatible with old PGP versions, because those use
-    IDEA (which is patented worldwide) and RSA (which is patented in
-    the United States until Sep 20, 2000).
+--export
 
-    GnuPG is in almost all  aspects compatible with other OpenPGP
-    implementations.
+    Export all certificates storein the Keybox or those specified on
+    the commandline.  When using --armor a few informational lines are
+    prepended before each block.
 
-    The default algorithms are now DSA and ELGamal.  ELGamal for signing
-    is still available, but due to the larger size of such signatures it
-    is depreciated (Please note that the GnuPG implementation of ElGamal
-    signatures is *not* insecure).  Symmetric algorithms are: 3DES, Blowfish
-    and CAST5, Digest algorithms are MD5, RIPEMD160, SHA1 and TIGER/192.
 
+OPTIONS
+=======
 
+gpgsm:
+------
 
-    Installation
-    ------------
+--include-certs <n>
 
-    Please read the file INSTALL!
+  Using N of -2 includes all certificate except for the Root cert,
+  -1 includes all certs, 0 does not include any certs, 1 includes only
+  the signers cert (this is the default) and all other positives
+  values include up to N certs starting with the signer cert.
+  
+--policy-file <filename>
 
-    Here is a quick summary:
+  Chnage the deault name of the policy file
 
-    1) "./configure"
+--enable-policy-checks
+--disable-policy-checks
 
-    2) "make"
+  By default policy checks are enabled.  These options may be used to
+  change it.
 
-    3) "make install"
+--enable-crl-checks
+--disable-crl-checks
 
-    4) You end up with a binary "gpg" in /usr/local/bin
+  By default the CRL checks are enabled and the DirMngr is used to
+  check for revoked certificates.  The disable option is most useful
+  with a off-line connection to suppres this check.
 
-    5) Optional, but suggested: install the program "gpg" as suid root.
+--agent-program <path_to_agent_program>
 
+  Specify an agent program to be used for secret key operations.  The
+  default value is "../agent/gpg-agent".  This is only used as a
+  fallback when the envrionment varaibale GPG_AGENT_INFO is not set or
+  a running agent can't be connected.
+  
+--dirmngr-program <path_to_dirmgr_program>
 
+  Specify a dirmngr program to be used for CRL checks.  The default
+  value is "/usr/sbin/dirmngr".  This is only used as a fallback when
+  the envrionment varaibale DIRMNGR_INFO is not set or a running
+  dirmngr can't be connected.
 
-    Key Generation
-    --------------
+--no-secmem-warning
 
-       gpg --gen-key
+  Don't print the warning "no secure memory"
 
-    This asks some questions and then starts key generation. To create
-    good random numbers for prime number generation, it uses a /dev/random
-    which will only emit bytes if the kernel can gather enough entropy.
-    If you see no progress, you should start some other activities such
-    as mouse moves, "find /" or using the keyboard (in another window).
-    Because we have no hardware device to generate randomness we have to
-    use this method.
+--armor
 
-    You should make a revocation certificate in case someone gets
-    knowledge of your secret key or you forgot your passphrase:
+  Create PEM ecoded output.  Default is binary output. 
 
-       gpg --gen-revoke your_user_id
+--base64 
 
-    Run this command and store it away; output is always ASCII armored,
-    so that you can print it and (hopefully never) re-create it if
-    your electronic media fails.
+  Create Base-64 encoded output; i.e. PEM without the header lines.
 
-    If you decided to create a DSA key, you should add an ElGamal
-    for encryption:
+--assume-armor
 
-       gpg --add-key user_id_of_your_key
+  Assume the input data is PEM encoded.  Default is to autodetect the
+  encoding but this is may fail.
 
-    and follow the displayed instructions (select "ElGamal using v4 packets").
+--assume-base64
 
+  Assume the input data is plain base-64 encoded.
 
-    You can sign a key with this command:
+--assume-binary
 
-       gpg --sign-key Donald
+  Assume the input data is binary encoded.
 
-    This let you sign the key of "Donald" with your default userid.
+--server
 
-       gpg --sign-key -u Karl -u Joe Donald
+  Run in server mode.  This is used by GPGME to control gpgsm.  See
+  the assuan specification regarding gpgsm about the used protocol.
+  Some options are ignored in server mode.
 
-    This let you sign the key of of "Donald" with the userids of "Karl"
-    and "Joe".
-    All existing signatures are checked; if some are invalid, a menu is
-    offered to delete some of them, and then you are asked for every user
-    whether you want to sign this key.
+--local-user  <user_id>
 
-    You may remove a signature at any time using the option "--edit-sig",
-    which asks for the sigs to remove. Self-signatures are not removable.
+  Set the user to be used for signing.  The default is the first
+  secret key found in the database.
 
+--with-key-data
 
+  Displays extra information with the --list-keys commands.  Especiall
+  a line tagged "grp" si printed which tells you the keygrip of a
+  key.  This is string is for example used as the filename of the
+  secret key.
 
 
-    Sign
-    ----
 
-       gpg -s file
+gpg-agent:
+---------
 
-    This creates a file file.gpg which is compressed and has a signature
-    attached.
+--pinentry-program <path_to_pinentry_program>
 
-       gpg -sa file
+  Specify the PINentry program.  The default value is
+  "../../pinentry/kpinentry/kpinentry" so you most likely want to
+  specify it. 
 
-    Same as above, but file.gpg is ascii armored.
+--no-grab
 
-       gpg -s -o out file
+  Tel the pinentry not to grab keybourd and mouse.  You most likely
+  want to give this option during testing and development to avoid
+  lockups in case of bugs.
 
-    Creates a signature of file, but writes the output to the file "out".
+                     
 
-    If you use the option "--rfc1991", gnupg tries to me more compatible
-    to RFC1991 (pgp 2.x).
 
 
-    Encrypt
-    -------
+FILES
+=====
 
-       gpg -e -r heine file
+The default home directory is ~/.gnupg.  It can be changed by
+either the --homedir option or by seting the environment variable
+GNUPGHOME.  This is a list of files usually found in this directory:
 
-    This encrypts files with the public key of "heine" and writes it
-    to "file.gpg"
+gpgsm.conf 
 
-       echo "hallo" | gpg -ea -r heine | mail heine
+        Options for gpgsm.  Options are the same as the command line
+        options but don't enter the leading dashes and give arguments
+        without an equal sign.  Blank lines and lines starting with a
+        hash mark as the first non whitye space character are ignored.
 
-    Ditto, but encrypts "hallo\n" and mails it as ascii armored message.
+gpg-agent.conf
+        
+        Options for gpg-agent
 
+scdaemon.conf
 
-    Sign and Encrypt
-    ----------------
+        Options for scdaemon.
 
-       gpg -se -r heine file
+dirmngr.conf 
 
-    This encrypts files with the public key of "heine" and writes it
-    to "file.gpg" after signing it with the default user id.
+        Options for the DirMngr which is not part of this package and
+        the option file wilol most likely be moved to /etc
 
+gpg.conf
+        
+        Options for gpg.  Note that old versions of gpg use the
+        filename `options' instead of `gpg.conf'.
 
-       gpg -se -r heine -u Suttner file
+policies.txt
 
-    Ditto, but sign the file with the user id "Suttner"
+        A list of allowed CA policies.  This file should give the
+        object identifiers of the policies line by line.  emptry lines
+        and lines startung with a hash mark are ignored.
 
+        ++++++++++
+        2.289.9.9  
+        ++++++++++
 
-    Keyring Management
-    ------------------
-    To export your complete keyring(s) do this:
+trustlist.txt
 
-       gpg --export
+        A list of trusted certificates usually maintained by
+        gpg-agent.  It can however be edited manually.  The file will
+        be created automagically with some explaining comments.
 
-    To export only some user ids do this:
+random_seed
 
-       gpg --export userids
+        Used internally for keeping the state of the RNG over
+        invocations.
 
-    Use "-a" or "--armor" to create ASCII armored output.
+pubring.kbx
 
-    Importing keys is done with the option, you guessed it, "--import":
+        The database file with the certificates. 
 
-       gpg --import [filenames]
+pubring.gpg
 
-    New keys are appended to the default keyring and already existing
-    keys are merged.  Keys without a self-signature are ignored.
+        The database file with the OpenPGP public keys.  This will
+        eventually be merged with pubring.kbx
 
+secring.gpg
 
-    How to Specify a UserID
-    -----------------------
-    There are several ways to specify a userID, here are some examples:
+        The database file with the OpenPGP secret keys.  This will be
+        removed when gpg is changed to make use of the gpg-agent.
 
-    * Only by the short keyid (prepend a zero if it begins with A..F):
 
-       "234567C4"
-       "0F34E556E"
-       "01347A56A"
-       "0xAB123456
+private-keys-v1.d/
 
-    * By a complete keyid:
+        Directory holding the private keys maintained by gpg-agent.
+        For detailed info see agent/keyformat.txt. Note that there is
+        a helper tool gpg-protect-tool which may be used to protect or
+        unprotect keys.  This is however nothing a user should care
+        about.
 
-       "234AABBCC34567C4"
-       "0F323456784E56EAB"
-       "01AB3FED1347A5612"
-       "0x234AABBCC34567C4"
 
-    * By a fingerprint:
+How to specify a user ID
+========================
 
-       "1234343434343434C434343434343434"
-       "123434343434343C3434343434343734349A3434"
-       "0E12343434343434343434EAB3484343434343434"
+Due to the way X.509 certificates are made up we need a few new ways
+to specify a certificate (aka key in OpenPGP).  In addition to the
+ways a user ID can be specified with gpg, I have implemented 3 new
+modes for gpgsm, here is the entire list of ways to specify a key:
 
     The first one is MD5 the others are ripemd160 or sha1.
* By keyID.
 
-    * By an exact string (not yet implemented):
+   This format is deducded from the length of the string and its
+   content or "0x" prefix. For use with OpenPGP a exclamation mark may
+   be appended to force use of the specified (sub)key.
 
-       "=Heinrich Heine <heinrichh@uni-duesseldorf.de>"
+   As with v34 OpenPGP keys, the keyID of an X509 certificate are the
+   low 64 bits of the SHA-1 fingerprint.  The use of keyIDs is just a
+   shortcut, for all automated processing the fingerprint should be
+   used.
 
-    * By an email address:
+   Examples:
 
-       "<heinrichh@uni-duesseldorf.de>"
+       234567C4
+       0F34E556E
+       01347A56A
+       0xAB123456
 
-      This can be used by a keyserver instead of a substring to
-      find this key faster.
+       234AABBCC34567C4
+       0F323456784E56EAB
+       01AB3FED1347A5612
+       0x234AABBCC34567C4
 
-    * By the Local ID (from the trustdb):
+ * By fingerprint
 
-       "#34"
+   This is format is deduced from the length of the string and its
+   content or "0x" prefix.  Note, that only the 20 byte fingerprint is
+   used with GPGSM (SHA-1 hash of the certificate).  For use with
+   OpenPGP a exclamation mark may be appended to force use of the
+   specified (sub)key.
 
-      This can be used by a MUA to specify an exact key after selecting
-      a key from GnuPG (by the use of a special option or an extra utility)
+   Examples:
 
+       1234343434343434C434343434343434
+       123434343434343C3434343434343734349A3434
+       0E12343434343434343434EAB3484343434343434
+       0xE12343434343434343434EAB3484343434343434
 
-    * Or by the usual substring:
+ * Exact match on OpenPGP user ID
 
-       "Heine"
-       "*Heine"
+   This is denoted by a leading equal sign. It does not make much
+   sense for X.509.
 
-      The '*' indicates substring search explicitly.
+   Example:
 
+       =Heinrich Heine <heinrichh@uni-duesseldorf.de>
 
+ * Exact match on an email address.
 
+   This is indicated by enclosing the email address in the usual way
+   with left and right angles
 
-    Batch mode
-    ----------
-    If you use the option "--batch", GnuPG runs in non-interactive mode and
-    never prompts for input data.  This does not even allow entering the
-    passphrase; until we have a better solution (something like ssh-agent),
-    you can use the option "--passhrase-fd n", which works like PGPs
-    PGPPASSFD.
+   Example:
 
-    Batch mode also causes GnuPG to terminate as soon as a BAD signature is
-    detected.
+       <heinrichh@uni-duesseldorf.de>
 
+ * Word match
 
-    Exit status
-    -----------
-    GnuPG returns with an exit status of 1 if in batch mode and a bad signature
-    has been detected or 2 or higher for all other errors.  You should parse
-    stderr or the output of the fd specified with --status-fd to get detailed
-    information about the errors.
+   All words must match exactly (not case sensitive) but can appear in
+   any order in the user ID or a subjects name.  Words are any
+   sequences of letters, digits, the underscore and all characters
+   with bit 7 set.
 
+   Example:
 
-    Esoteric commands
-    -----------------
+       +Heinrich Heine duesseldorf
 
-       gpg --list-packets datafile
+ * [NEW] Exact match by subject's DN
 
-    Use this to list the contents of a data file. If the file is encrypted
-    you are asked for the passphrase, so that GnuPG is able to look at the
-    inner structure of a encrypted packet.
+   This is indicated by a leading slash, directly followed by the
+   rfc2253 encoded DN of the subject.
 
-       gpgm --list-trustdb
+   Example:
 
-    List the contents of the trustdb in a human readable format
+      /CN=Henrich Heine,O=Poets,L=Paris,C=FR
 
-       gpgm --list-trustdb  <usernames>
+ * [NEW] Excact match by issuer's DN
 
-    List the tree of certificates for the given usernames
+   This is indicated by a leading hash mark, directly followed by a
+   slash and then directly followed by the rfc2253 encoded DN of the
+   issuer.  This should return the Root cert of the issuer
 
-       gpgm --list-trust-path  depth  username
+   Example:
 
-    List the possible trust paths for the given username, up to the specified
-    depth.  If depth is negative, duplicate introducers are not listed,
-    because those would increase the trust probability only minimally.
-    (you must use the special option "--" to stop option parsing when
-     using a negative number). This option may create new entries in the
-    trustdb.
+      #/CN=Root Cert,O=Poets,L=Paris,C=FR
 
-       gpgm --print-mds  filenames
+ * [NEW] Exact match by serial number and subject's DN
 
-    List all available message digest values for the fiven filenames
+   This is indicated by a hash mark, followed by the hexadecmal
+   representation of the serial number, the followed by a slahs and
+   the RFC2253 encoded DN of the issuer.
 
-    For more options/commands see the file g10/OPTIONS, or use "gpg --help"
+   Example:
 
+      #4F03/CN=Root Cert,O=Poets,L=Paris,C=FR
 
-    Debug Flags
-    -----------
-    Use the option "--debug n" to output debug information. This option
-    can be used multiple times, all values are ORed; n maybe prefixed with
-    0x to use hex-values.
+ * Substring match
 
-        value  used for
-        -----  ----------------------------------------------
-         1     packet reading/writing
-         2     MPI details
-         4     ciphers and primes (may reveal sensitive data)
-         8     iobuf filter functions
-         16    iobuf stuff
-         32    memory allocation stuff
-         64    caching
-         128   show memory statistics at exit
-         256   trust verification stuff
+   By case insensitive substring matching.  This is the default mode
+   but applications may want to explicitly indicate this by putting
+   the asterisk in front.
 
+   Example:
 
-    Other Notes
-    -----------
-    This is work in progress, so you may find duplicated code fragments,
-    ugly data structures, weird usage of filenames and other things.
+        Heine
+        *Heine
 
-    The primary FTP site is "ftp://ftp.guug.de/pub/gcrypt/"
-    The primary WWW page is "http://www.d.shuttle.de/isil/gnupg/"
 
-    If you like, send your keys to <gnupg-keys@isil.d.shuttle.de>; use
-    "gpg --export --armor | mail gnupg-keys@isil.d.shuttle.de" to do this.
+Please note that we have reused the hash mark indentifier which was
+used in old GnuPG versions to indicate the so called local-id.  It is
+not anymore used and there should be no conflict when used with X.509
+stuff.
 
-    Please direct bug reports to <gnupg-bugs@gnu.org> or better
-    post them to the mailing list <g10@net.lut.ac.uk> (this is a closed list,
-    please subscribe before posting, see above (~line 33)).
+Using the rfc2253 format of DNs has the drawback that it is not
+possible to map them back to the original encoding, however we don't
+have to do this, because our key database stores this encoding as meta
+data.
 
+Some of the search modes are not yet implemented ;-)
+
+
+How to import a private key
+===========================
+There is some limited support to import a private key from a PKCS-12
+file.  Note, that this does only import the private key and not any
+certificates available in that file. 
+
+ gpg-protect-tool --p12-import --store  foo.p12
+
+This require that the gpg-agent is running, alternative you may give
+the passphrase on the commandline using the option "-P <passphrase>" -
+however this is in general not a good idea.  If that key already
+exists, the protect-tool refuses to store it unless you use the option
+"--force". 
+
+How to export a private key
+===========================
+There is also limited support to export a private key in PKCS-12
+format. However the certificate is not stored and there is no MAC applied.
+
+ gpg-protect-tool --p12-export  foo.key  >foo.p12
 
------BEGIN PGP SIGNATURE-----
-Version: GNUPG v0.4.2 (GNU/Linux)
-Comment: For info finger gcrypt@ftp.guug.de
 
-iQB1AwUBNkXLyx0Z9MEMmFelAQExuwMArLtkLI3vpxZ7tCoit6hELkpyEHe10Bo6
-Ms72TXasJ8L0tKNKRE2kagV7Ie7wxl0dyENlumOxsZIKLq8DGSyjSoE7GmMQEEff
-ZU+4xpO3KMw6XpJMvUWwlxpm2/WDpYTa
-=Y10x
------END PGP SIGNATURE-----