gpasskey

.. image:: https://gitlab.com/renich/gpasskey/-/raw/master/assets/logo.svg :width: 140px :align: center :alt: gpasskey logo

Linux 向けの中央集権型暗号 ID エンクレーブ。

.. caution::

プレアルファ版ソフトウェア — ご自身の責任でご使用ください！

リリース番号にかかわらず、gpasskey は現在、急速なアーキテクチャ開発が進行中の実験的なプレアルファ版ソフトウェアです。暗号スキーマ、ボールト形式、プロトコルブリッジは、後方互換性なしに変更される可能性があります。

鍵とデータ損失の高リスク: 24語のBIP39リカバリーフレーズ を必ず記録し、安全に保管してください。
セカンダリ2FAの維持: 本番アカウントに仮想FIDO2セキュリティキーを登録する場合は、常にセカンダリ2FA方式（TOTPやバックアップリカバリーコードなど）も設定してください。
無保証: GNU GPLv3ライセンスの下で、いかなる保証もなく、厳密に「現状のまま」で提供されます。

概要

gpasskey は、暗号化されたボールトに秘密鍵を格納する、ハードウェア支援型のセキュリティエンクレーブを提供します。 SSHエージェント、age 暗号化プラグインプロトコル、GnuPGコミット署名エミュレーションをサポートするマルチプロトコルブリッジとして機能します。

主な機能

マルチプロトコルサポート:
- FIDO2 / CTAP2 パスキー: ネイティブブラウザ（Firefox、Chrome、Chromium）とOSのパスキー認証のための、/dev/uhid 上の仮想USBセキュリティキーエミュレータ。
- SSHエージェント: OpenSSH準拠のエージェントプロトコル。
- age-plugin: age (v1) ファイル暗号化のネイティブサポート。
- GnuPGブリッジ: GPG CLIをエミュレートし、シームレスなGitコミット署名と検証を実現します。
ハードウェア支援型セキュリティ: AES-256-GCMで暗号化された秘密鍵を、SRKキャッシュ付きで主にTPM 2.0にシールします。
暗号学的PINバインドとUVキャッシュ: すべての操作はPINから導出されたサブキーにバインドされ、ロックされたRAM（mlock）内に15秒間のセキュアセッションキャッシュを保持します。
Argon2id KDF: マスターパスフレーズ、リカバリー、サブキーのためのメモリハードな鍵導出。
ブルートフォース保護: 失敗した認証試行に対する自動指数バックオフ。
インテリジェントUIルーティング: 認証プロンプトのための自動セッション検出（グラフィカル vs. TTY）。
セキュアメモリ: mmap/mlock と「Wrap and Clear」戦略を使用して、鍵素材がスワップやGCヒープに漏れるのを防ぎます。
ID管理: ボールト管理と暗号化シークレット管理のための堅牢なCLI（gpasskey-cli）。

TPM 2.0 統合

gpasskey はTPM 2.0によるハードウェア支援型セキュリティをサポートします。これにより、マスターキーが暗号化されずにTPMの外部に出ることはなく、システムのブート状態にバインドされることが保証されます。

要件


* TPM 2.0互換デバイス（開発用には ``swtpm`` でも可）。
* システムに ``tpm2-tools`` がインストールされていること。

初期化

TPMストレージは、新しいIDを作成すると自動的に初期化されます。TPMの状態を確認するには:

.. code-block:: bash

gpasskey-cli status

使用方法


初期化後、TPMはデーモンによって透過的に使用されます。すべての機密データは **PCR 0**（コアシステムファームウェア）および **PCR 7**（セキュアブート状態）に対してシールされます。ファームウェアまたはセキュアブート設定に変更が加えられるとボールトのロックを解除できなくなり、オフライン攻撃や不正なOS改ざんから保護されます。

クイックスタート
-----------

ユーザーアカウント用にビルドしてインストール（推奨、非root）::

   make clean && make all
   make install-user   # Installs to ~/.local/bin, ~/.config/systemd/user, ~/.local/share/dbus-1

またはシステム全体にインストール（rootが必要）::

   sudo make install   # Installs to /usr/local/bin

ソケットアクティベーションを有効化して開始::

   systemctl --user enable --now gpasskey-ssh.socket gpasskey-gpg.socket

ボールトを初期化して状態を確認::

   gpasskey-cli status
   # Identities are enrolled automatically on first use by clients 
   # (WebAuthn passkeys, SSH, age, GPG) or via the portal API.

ブラウザでのWebAuthnパスキー::

   # Open Firefox or Chrome, go to https://webauthn.io/
   # Click "Register" -> enter your PIN in the gpasskey prompt -> Passkey is created!
   # Click "Authenticate" -> enter your PIN -> Instant login verified!

TPM支援型設定ストアで暗号化シークレットを管理::

   gpasskey-cli set-secret my-api-key "super-secret-value"
   gpasskey-cli get-secret my-api-key

ドキュメントと仕様
------------------------------

当プロジェクトの包括的なエンジニアリングドキュメントは、モジュール式の仕様、アーキテクチャ記録、ロードマップに整理されています:

* **機能仕様**: `Functional Spec Index`_ — ユーザー要件と認可モデルを定義します。
* **技術設計書**: `Technical Spec Index`_ — 詳細なGoアーキテクチャ、暗号プリミティブ、エンクレーブ設計。
* **アーキテクチャ決定記録（ADR）**: `ADR Index`_ — アーキテクチャ、暗号、セキュリティ上の選択の不変の記録。
* **APIとワイヤプロトコル**: `API Spec Index`_ — 管理ソケット、D-Busポータル、ブリッジのワイヤスキーマ。
* **プロジェクト実行ロードマップ**: `Roadmap Index`_ — 段階的なエンジニアリングのタイムラインとマイルストーン成果物。

ユーザーガイド

User Quick Start_ - 5分で使い始められます。
Installation Guide_ - ビルド、udev、systemdの詳細なセットアップ。
Security Guide_ - ハードウェアTPM 2.0エンクレーブと「Wrap and Clear」メモリ分離。
Configuration Guide_ - 環境変数とサービスオプション。

.. _Functional Spec Index: docs/functional/spec.rst .. _Technical Spec Index: docs/technical/spec.rst .. _ADR Index: docs/adrs/index.rst .. _API Spec Index: docs/api/spec.rst .. _Roadmap Index: docs/project/roadmap.rst .. _User Quick Start: docs/user/quickstart.rst .. _Installation Guide: docs/user/installation.rst .. _Security Guide: docs/user/security.rst .. _Configuration Guide: docs/user/configuration.rst

計画中の機能（フェーズ7）

現在、フェーズ7: プラグ可能な多要素・マルチパーティクォーラムエンジン の仕様策定とアーキテクチャ設計を進めています:

ストリーミング任意ファイルハッシャー: 短いテキストの詩から100GBのオーディオマスターFLACや画像まで、任意のファイルを認証要素として使用。メモリ消費は一定の :math:\mathcal{O}(1)（:math:\le 64\,\text{KB} バッファ）です。
マルチパーティクォーラム（「コカ・コーラのレシピ」）: HMAC検証タグ付きの :math:\text{GF}(2^8) 上の キーラップ型シャミア秘密分散 により、:math:k-of-:math:n 分割鍵認証を実現します。
ハードウェアと生体認証: 物理YubiKey（スロット2 HMAC-SHA1）、物理FIDO2キー（hmac-secret）、Linux生体認証（fprintd）。
動的要素の再キー化: キーを再作成せずにIDの要素ポリシーをオンザフライで切り替える、メモリ内でのアトミックな再暗号化（gpk rekey）。
CLIの近代化: コマンドラインインターフェースを標準の gpk（/usr/local/bin/gpk）に合理化します。
デスクトップ自動ロック解除: Freedesktop Secret Service（org.freedesktop.secrets）とのシームレスな統合。

完全な仕様については Phase 7 Roadmap_ と ADR-006_ を参照してください。

.. _Phase 7 Roadmap: docs/project/roadmaps/phase-7-pluggable-factors.rst .. _ADR-006: docs/adrs/2026-08-25-pluggable-auth-factors.rst

コンポーネント

gpasskeyd: コアとなるセキュリティエンクレーブと仮想USB CTAP2/FIDO2セキュリティキーデーモン。
gpasskey-cli: ボールト管理と暗号化設定のための管理ツール。
age-plugin-gpasskey: age 暗号化ツール用のプラグイン。
gpasskey-gpg: GnuPG互換の署名と検証のためのエミュレーションブリッジ。
gpasskey-ui: PIN入力用のグラフィカルヘルパー。

開発

ユニットテストを実行::

make test

完全なGoネイティブ統合スイートを実行（swtpm が必要）::

make integration-test

サポートと寄付

gpasskey が役立つと感じ、継続的な開発を支援したい場合は、Liberapayでの寄付を検討してください:

.. image:: https://liberapay.com/assets/widgets/donate.svg :target: https://liberapay.com/Renich/donate :alt: Donate using Liberapay

ライセンス

このプロジェクトはGNU General Public License v3.0以降の下でライセンスされています。詳細はLICENSEファイルを参照してください。

gpasskey

人気

gpasskey

概要

主な機能

TPM 2.0 統合

計画中の機能（フェーズ7）

コンポーネント

開発

サポートと寄付

ライセンス