☰

gpg-agent 说代理存在，但是 gpg 说代理不存在？

tag-icon • tag-icon scripting shell gpg
gpg-agent 说代理存在，但是 gpg 说代理不存在？

我在 Debian 6.0.6 机器上编写 gpg 脚本时遇到了一些问题bash。我有一个脚本执行一批操作，并希望在尝试继续之前确保 gpg-agent 可用。

由于 gpg-agent 在运行时启动时不会采取任何行动并返回成功，因此确保代理存在非常简单：

eval $(gpg-agent --daemon)

gpg-agent开始，或将报告：

gpg-agent[21927]: a gpg-agent is already running - not starting a new one

如果已经运行则返回 0（成功）。

当代理已在另一个会话中运行时，就会出现问题。gpg-agent说它已经在运行......但gpg它自己却声称它不可用。

$ gpg-agent --version
gpg-agent (GnuPG) 2.0.19
libgcrypt 1.5.0
$ gpg --version
gpg (GnuPG) 1.4.13

$ eval $(gpg-agent --daemon)
gpg-agent[21927]: a gpg-agent is already running - not starting a new one
$ gpg -d demo-file.asc
gpg: gpg-agent is not available in this session

这让我感到沮丧和困惑。看来，它gpg-agent检测代理的方式与 gpg 自身不同。更糟糕的是，gpg它没有提供以脚本方式询问代理是否可用的方式，就像它喜欢默默忽略具有不可用密钥的收件人并仍然返回成功一样，因此在开始批处理之前很难检测到这个问题。我不想因为 i18n 等原因而分析 gpg 的输出。

您可以通过确保没有运行或设置 gpg-agent 来重现此问题GPG_AGENT_INFO，然后在一个终端中运行eval $(gpg-agent --daemon)并在 其他 终端运行上述程序。您会注意到 gpg-agent 表示它已在运行，但 gpg 无法连接到代理。

有想法吗？

更新：gpg-agent通过在一个众所周知的位置寻找套接字文件并写入它来测试活动性，从而检测另一个代理，如下所示strace：

socket(PF_FILE, SOCK_STREAM, 0)         = 5
connect(5, {sa_family=AF_FILE, sun_path="/home/craig/.gnupg/S.gpg-agent"}, 32) = 0
fcntl(5, F_GETFL)                       = 0x2 (flags O_RDWR)
fcntl(5, F_GETFL)                       = 0x2 (flags O_RDWR)
select(6, [5], NULL, NULL, {0, 0})      = 1 (in [5], left {0, 0})
read(5, "OK Pleased to meet you, process "..., 1002) = 38
mmap(NULL, 8192, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f41a3e61000
write(2, "gpg-agent: gpg-agent running and"..., 43gpg-agent: gpg-agent running and available
) = 43

而 GnuPG 似乎只关注环境，而忽略了众所周知的套接字位置。在common/simple-pwquery.c：

/* Try to open a connection to the agent, send all options and return
   the file descriptor for the connection.  Return -1 in case of
   error. */
static int
agent_open (int *rfd)
{
  int rc;
  int fd;
  char *infostr, *p;
  struct sockaddr_un client_addr;
  size_t len;
  int prot;
  char line[200];
  int nread;

  *rfd = -1;
  infostr = getenv ( "GPG_AGENT_INFO" );
  if ( !infostr || !*infostr )
    infostr = default_gpg_agent_info;
  if ( !infostr || !*infostr )
    {
#ifdef SPWQ_USE_LOGGING
      log_error (_("gpg-agent is not available in this session\n"));
#endif
      return SPWQ_NO_AGENT;
    }
    /* blah blah blah truncated blah */
}

我真的不想为了确保可以重新启动代理而终止代理，而且用户代理没有标准位置可以写入环境文件。更糟糕的是，我甚至无法测试GPG_AGENT_INFO环境中是否存在，因为这可能指的是已被替换的陈旧（死机）代理……并且也没有gpg提供gpg-agent命令行选项来 ping 代理并在正常时返回 true。

答案1

  1. 您可以检查退出代码gpg-connect-agent /bye
  2. 您可以检查 $GPG_AGENT_INFO 中给出的套接字是否存在。这应该足够了，但您也可以使用 fuser 或 lsof 检查 $GPG_AGENT_INFO 中给出的进程是否是打开套接字的进程。如果您想要真正详尽无遗，您还可以检查 /proc/$PID/exe 是否是指向 /usr/bin/gpg-agent（或其他）的链接。

答案2

正在运行的 gpg 代理的主版本是 2. 您应该调用 gpg2 而不是 gpg，如下所述：https://unix.stackexchange.com/questions/231386/how-to-make-gpg-find-gpg-agent

答案3

到目前为止，我能想到的最好的解决方法就是解决以下可怕的混乱局面：

if ! test -v GPG_AGENT_INFO; then
    if gpg-agent 2>/dev/null; then
        if test -e /tmp/.gpg-agent-$USER/env; then
            . /tmp/.gpg-agent-$USER/env
        elif test -e ~/.gpg-agent-info; then
            . ~/.gpg-agent-info
        else
            echo 'A gpg agent is running, but we cannot find its socket info because'
            echo 'the GPG_AGENT_INFO env var is not set and gpg agent info has not been'
            echo 'written to any expected location. Cannot continue. Please report this'
            echo 'issue for investigation.'
            exit 5
        fi
    else
        mkdir /tmp/.gpg-agent-$USER
        chmod 700 /tmp/.gpg-agent-$USER
        gpg-agent --daemon --write-env-file /tmp/.gpg-agent-$USER/env
        . /tmp/.gpg-agent-$USER/env
    fi
    # The env file doesn't include an export statement
    export GPG_AGENT_INFO
else
    if ! gpg-agent 2>/dev/null; then
        echo 'GPG_AGENT_INFO is set, but cannot connect to the agent.'
        echo 'Unsure how to proceed, so aborting execution. Please report this'
        echo 'issue for investigation.'
        exit 5
    fi
fi

这将检查GPG_AGENT_INFO环境中是否存在，如果已设置，则确保 gpg-agent 确实正在运行。（我还不确定它如何与其他 gpg-agent 实现（如 GNOME 的代理）交互）。如果设置了代理信息但代理未运行，则它不知道如何应对并放弃。

如果未设置代理信息，它会检查代理是否正在运行。如果正在运行，它会在几个众所周知的位置查找环境信息，如果找不到，则放弃。

如果代理未运行且代理信息未设置，它将启动代理，将环境文件写入私有位置，然后继续。

说我对这种可怕的、对用户不友好且不可靠的黑客行为感到不满，这只是轻描淡写。

令人惊讶的是gpg，一款安全/加密工具忽略参数并继续。--use-agent如果代理未运行，则应为致命错误，至少是可选的，就像指定-r无效收件人一样，应为错误而不是忽略。以gpg不同于gpg-agent命令的方式找到其代理这一事实令人困惑。

答案4

在我的 Ubuntu 系统上gpg-agent，配置为将其环境文件写入~/.gnupg/gpg-agent-info-$(hostname)（由 完成/etc/X11/Xsession.d/90gpg-agent）。如果您的系统不这样做，您可以修改代理启动的方式，将环境文件写入众所周知的位置，以便以后可以获取该文件。例如：

$ gpg-agent --daemon --write-env-file="$HOME/.gnupg/gpg-agent-info"
$ source ~/.gnupg/gpg-agent-info

相关内容