Ein einfaches, modernes und sicheres Verschlüsselungswerkzeug (und Go-Bibliothek) mit kleinen expliziten Schlüsseln, keinen Konfigurationsoptionen und UNIX-artiger Komponierbarkeit.
age ist ein einfaches, modernes und sicheres Dateiverschlüsselungswerkzeug, -format und eine Go-Bibliothek.
Es zeichnet sich durch kleine, explizite Schlüssel, Post-Quantum-Unterstützung, keine Konfigurationsoptionen und UNIX-artige Komponierbarkeit aus.
$ age-keygen -o key.txt
Public key: age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p
$ tar cvz ~/data | age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p > data.tar.gz.age
$ age --decrypt -i key.txt data.tar.gz.age > data.tar.gz
📜 Die Formatspezifikation befindet sich unter age-encryption.org/v1. age wurde von @benjojo und @FiloSottile entworfen.
🦀 Eine alternative, interoperable Rust-Implementierung ist unter github.com/str4d/rage verfügbar.
🌍 Typage ist eine TypeScript-Implementierung. Sie funktioniert im Browser, in Node.js, Deno und Bun.
🔑 Hardware-PIV-Tokens wie YubiKeys werden über das age-plugin-yubikey-Plugin unterstützt.
✨ Für weitere Plugins, Implementierungen, Werkzeuge und Integrationen schau in die awesome age-Liste.
💬 Der Autor spricht es [aɡe̞] mit hartem g aus, wie GIF, und es wird immer kleingeschrieben.
Unter Windows, Linux, macOS und FreeBSD kannst du die vorgefertigten Binärdateien verwenden.
Wenn du die vorgefertigten Binärdateien herunterlädst, kannst du ihre Sigsum-Beweise überprüfen.
Wenn dein System eine unterstützte Version von Go hat, kannst du aus dem Quellcode bauen.
go install filippo.io/age/cmd/...@latest
Hilfe von neuen Paketbetreuern ist sehr willkommen.
Für die vollständige Dokumentation lies die age(1)-Manpage.
Usage:
age [--encrypt] (-r RECIPIENT | -R PATH)... [--armor] [-o OUTPUT] [INPUT]
age [--encrypt] --passphrase [--armor] [-o OUTPUT] [INPUT]
age --decrypt [-i PATH]... [-o OUTPUT] [INPUT]
Options:
-e, --encrypt Encrypt the input to the output. Default if omitted.
-d, --decrypt Decrypt the input to the output.
-o, --output OUTPUT Write the result to the file at path OUTPUT.
-a, --armor Encrypt to a PEM encoded format.
-p, --passphrase Encrypt with a passphrase.
-r, --recipient RECIPIENT Encrypt to the specified RECIPIENT. Can be repeated.
-R, --recipients-file PATH Encrypt to recipients listed at PATH. Can be repeated.
-i, --identity PATH Use the identity file at PATH. Can be repeated.
--version Print the version.
INPUT defaults to standard input, and OUTPUT defaults to standard output.
If OUTPUT exists, it will be overwritten.
RECIPIENT can be an age public key generated by age-keygen ("age1...")
or an SSH public key ("ssh-ed25519 AAAA...", "ssh-rsa AAAA...").
Recipient files contain one or more recipients, one per line. Empty lines
and lines starting with "#" are ignored as comments. "-" may be used to
read recipients from standard input.
Identity files contain one or more secret keys ("AGE-SECRET-KEY-1..."),
one per line, or an SSH key. Empty lines and lines starting with "#" are
ignored as comments. Passphrase encrypted age files can be used as
identity files. Multiple key files can be provided, and any unused ones
will be ignored. "-" may be used to read identities from standard input.
When --encrypt is specified explicitly, -i can also be used to encrypt to an
identity file symmetrically, instead or in addition to normal recipients.
Dateien können an mehrere Empfänger verschlüsselt werden, indem -r/--recipient wiederholt wird. Jeder Empfänger kann die Datei entschlüsseln.
$ age -o example.jpg.age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p \
-r age1lggyhqrw2nlhcxprm67z43rta597azn8gknawjehu9d9dl0jq3yqqvfafg example.jpg
Mehrere Empfänger können auch einzeln pro Zeile in einer oder mehreren Dateien aufgelistet werden, die mit dem Flag -R/--recipients-file übergeben werden.
$ cat recipients.txt
# Alice
age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p
# Bob
age1lggyhqrw2nlhcxprm67z43rta597azn8gknawjehu9d9dl0jq3yqqvfafg
$ age -R recipients.txt example.jpg > example.jpg.age
Wenn das Argument für -R (oder -i) - ist, wird die Datei von der Standardeingabe gelesen.
Um hybride Post-Quantum-Schlüssel zu erzeugen, die gegen zukünftige Quantencomputer-Angriffe sicher sind, verwende das Flag -pq mit age-keygen. Dies könnte in Zukunft zum Standard werden.
Post-Quantum-Identitäten beginnen mit AGE-SECRET-KEY-PQ-1... und Empfänger mit age1pq1.... Die Empfänger sind leider etwa 2000 Zeichen lang.
$ age-keygen -pq -o key.txt
$ age-keygen -y key.txt > recipient.txt
$ age -R recipient.txt example.jpg > example.jpg.age
$ age -d -i key.txt example.jpg.age > example.jpg
Die Unterstützung für Post-Quantum-Schlüssel ist in age v1.3.0 und später integriert. Alternativ kann die Binärdatei age-plugin-pq installiert und in $PATH platziert werden, um Unterstützung für jede Version und Implementierung von age hinzuzufügen, die Plugins unterstützt. Empfänger funktionieren sofort, während Identitäten mit age-plugin-pq -identity in Plugin-Identitäten konvertiert werden müssen.
Dateien können mit einer Passphrase verschlüsselt werden, indem -p/--passphrase verwendet wird. Standardmäßig erzeugt age automatisch eine sichere Passphrase. Passphrase-geschützte Dateien werden beim Entschlüsseln automatisch erkannt.
$ age -p secrets.txt > secrets.txt.age
Enter passphrase (leave empty to autogenerate a secure one):
Using the autogenerated passphrase "release-response-step-brand-wrap-ankle-pair-unusual-sword-train".
$ age -d secrets.txt.age > secrets.txt
Enter passphrase:
Wenn eine Identitätsdatei, die an -i übergeben wird, eine passphrase-verschlüsselte age-Datei ist, wird sie automatisch entschlüsselt.
$ age-keygen | age -p > key.age
Public key: age1yhm4gctwfmrpz87tdslm550wrx6m79y9f2hdzt0lndjnehwj0ukqrjpyx5
Enter passphrase (leave empty to autogenerate a secure one):
Using the autogenerated passphrase "hip-roast-boring-snake-mention-east-wasp-honey-input-actress".
$ age -r age1yhm4gctwfmrpz87tdslm550wrx6m79y9f2hdzt0lndjnehwj0ukqrjpyx5 secrets.txt > secrets.txt.age
$ age -d -i key.age secrets.txt.age > secrets.txt
Enter passphrase for identity file "key.age":
Passphrase-geschützte Identitätsdateien sind für die meisten Anwendungsfälle nicht notwendig, bei denen der Zugriff auf die verschlüsselte Identitätsdatei Zugriff auf das gesamte System bedeutet. Sie können jedoch nützlich sein, wenn die Identitätsdatei remote gespeichert wird.
Als Komfortfunktion unterstützt age auch das Verschlüsseln an ssh-rsa- und ssh-ed25519-SSH-öffentliche Schlüssel sowie das Entschlüsseln mit der jeweiligen privaten Schlüsseldatei. (ssh-agent wird nicht unterstützt.)
$ age -R ~/.ssh/id_ed25519.pub example.jpg > example.jpg.age
$ age -d -i ~/.ssh/id_ed25519 example.jpg.age > example.jpg
Beachte, dass die SSH-Schlüsselunterstützung komplexere Kryptografie verwendet und einen öffentlichen Schlüssel-Tag in die verschlüsselte Datei einbettet, wodurch es möglich wird, Dateien zu verfolgen, die an einen bestimmten öffentlichen Schlüssel verschlüsselt wurden.
Durch die Kombination von SSH-Schlüsselunterstützung und -R kannst du eine Datei einfach an die SSH-Schlüssel verschlüsseln, die in einem GitHub-Profil aufgelistet sind.
$ curl https://github.com/benjojo.keys | age -R - example.jpg > example.jpg.age
Denke daran, dass Menschen SSH-Schlüssel möglicherweise nicht langfristig schützen, da sie widerrufbar sind, wenn sie nur für die Authentifizierung verwendet werden, und dass SSH-Schlüssel auf YubiKeys nicht zum Entschlüsseln von Dateien verwendet werden können.
Der Befehl age-inspect kann Metadaten über eine verschlüsselte Datei anzeigen, ohne sie zu entschlüsseln, einschließlich der Empfängertypen, ob Post-Quantum-Verschlüsselung verwendet wird und der Nutzlastgröße.
$ age-inspect secrets.age
secrets.age is an age file, version "age-encryption.org/v1".
This file is encrypted to the following recipient types:
- "mlkem768x25519"
This file uses post-quantum encryption.
Size breakdown (assuming it decrypts successfully):
Header 1627 bytes
Encryption overhead 32 bytes
Payload 42 bytes
-------------------
Total 1701 bytes
Tip: for machine-readable output, use --json.
| Homebrew (macOS oder Linux) |
brew install age
|
| MacPorts |
port install age
|
| Windows |
winget install --id FiloSottile.age
|
| Alpine Linux v3.15+ |
apk add age
|
| Arch Linux |
pacman -S age
|
| Debian 12+ (Bookworm) |
apt install age
|
| Debian 11 (Bullseye) |
apt install age/bullseye-backports
(Backports aktivieren für age v1.0.0+)
|
| Fedora 33+ |
dnf install age
|
| Gentoo Linux |
emerge app-crypt/age
|
| Guix System |
guix package -i age
|
| NixOS / Nix |
nix-env -i age
|
| openSUSE Tumbleweed |
zypper install age
|
| Ubuntu 22.04+ |
apt install age
|
| Void Linux |
xbps-install age
|
| FreeBSD |
pkg install age (security/age)
|
| OpenBSD 6.7+ |
pkg_add age (security/age)
|
| Chocolatey (Windows) |
choco install age.portable
|
| Scoop (Windows) |
scoop bucket add extras && scoop install age
|