نام (NAME)

sq-pki-link - مدیریت پیوندهای گواهی و شناسه‌های کاربری اصالت‌سنجی‌شده

خلاصه دستور (SYNOPSIS)

sq pki link add [OPTIONS]
sq pki link authorize [OPTIONS]
sq pki link retract [OPTIONS]
sq pki link list [OPTIONS] PATTERN

توضیحات (DESCRIPTION)

مدیریت پیوندهای گواهی (certificate) و شناسه کاربری (User ID) اصالت‌سنجی‌شده.

پیوند دادن یک گواهی و شناسه کاربری یکی از روش‌هایی است که باعث می‌شود `sq` یک انتساب (binding) را معتبر و اصیل در نظر بگیرد. روش دیگر استفاده از `sq pki vouch add` برای تأیید انتساب از طریق یک ریشه اعتماد (trust root) با پیکربندی صریح است. کار با قابلیت پیوند دادن اغلب ساده‌تر است و اطلاعات آن به‌طور پیش‌فرض خصوصی می‌ماند.

انتساب‌های اصالت‌سنجی‌شده را می‌توان برای تعیین یک گواهی با استفاده از یک نام نمادین به کار برد. برای نمونه، با استفاده از گزینه‌های `--for-userid` و `--for-email` در دستور `sq encrypt`، کاربر می‌تواند یک گواهی را با استفاده از یک شناسه کاربری یا یک نشانی رایانامه که برای آن گواهی اصالت‌سنجی شده مشخص کند.

همچنین `sq` از گواهی‌های اصالت‌سنجی‌شده برای احراز اصالت سایر داده‌ها استفاده می‌کند. برای نمونه، دستور `sq verify` امضاهای ایجادشده توسط یک گواهی اصالت‌سنجی‌شده را معتبر در نظر می‌گیرد.

کاربران می‌توانند با استفاده از `sq pki link add` یک پیوند ایجاد کنند. این پیوند بعداً می‌تواند با استفاده از `sq pki link retract` پس گرفته شود. همچنین می‌توان یک گواهی را با استفاده از `sq pki link authorize` به عنوان یک معرفی‌کننده مورد اعتماد (trusted introducer) پذیرفت.

ابزار `sq` پیوند دادن را با استفاده از تصدیق‌های غیرقابل‌صدور (non-exportable) و یک ریشه اعتماد ضمنی پیاده‌سازی می‌کند. دایرکتوری گواهی‌های OpenPGP، که مخزن گواهی پیش‌فرض مورد استفاده در `sq` است، شامل یک ریشه اعتماد محلی است که با نام ویژه `trust-root` ذخیره می‌شود. هنگامی که کاربر به `sq` دستور می‌دهد که یک انتساب را بپذیرد، `sq` از ریشه اعتماد محلی برای ایجاد یک تصدیق غیرقابل‌صدور استفاده کرده و آن را در دایرکتوری گواهی ذخیره می‌کند. به این ترتیب، عملیاتی که از شبکه اعتماد (Web of Trust) برای اصالت‌سنجی یک انتساب استفاده می‌کنند، به‌طور خودکار از این پیوندها بهره می‌برند.

هنگامی که کاربر پیوندی را پس می‌گیرد، `sq` یک تصدیق غیرقابل‌صدور جدید با اعتماد صفر (zero trust) ایجاد می‌کند. این تصدیق جایگزین پیوند پیشین شده و آن را بی‌اثر می‌سازد.

زیردستورها (SUBCOMMANDS)

sq pki link add

پیوند دادن یک گواهی و یک شناسه کاربری.

این کار باعث می‌شود `sq` انتساب میان گواهی و شناسه کاربری را معتبر و اصیل بداند. به عنوان مثال، اگر مطمئن باشید که یک گواهی خاص باید متعلق به Alice باشد، این کار را انجام می‌دهید. توجه: این کار گواهی را به عنوان یک معرفی‌کننده مورد اعتماد تعیین نمی‌کند؛ بلکه تنها انتساب مذکور را معتبر در نظر می‌گیرد. برای مجاز کردن یک گواهی به عنوان معرفی‌کننده مورد اعتماد از `sq pki link authorize` استفاده کنید.

یک پیوند را می‌توان با استفاده از `sq pki link retract` پس گرفت.

این دستور مشابه `sq pki vouch add` است، اما تصدیق‌هایی که انجام می‌دهد از طریق ریشه اعتماد دایرکتوری گواهی ثبت می‌شوند، نه یک کلید دلخواه. افزون بر این، گواهی‌ها به صورت غیرقابل‌صدور (non-exportable) علامت‌گذاری می‌شوند. ویژگی نخست، مدیریت تصدیق‌ها را آسان‌تر می‌کند؛ به‌ویژه زمانی که کلید تصدیق کاربر آفلاین باشد. ویژگی دوم نیز با کاهش خطر افشای بخش‌هایی از گراف اجتماعی کاربر در زمان همرسانی گواهی، حریم خصوصی را بهبود می‌بخشد.

به‌طور پیش‌فرض، یک پیوند هرگز منقضی نمی‌شود. این رفتار را می‌توان با استفاده از آرگومان `--expiration` تغییر داد.

دستور `sq pki link add` از زمان مرجع تعیین‌شده توسط آرگومان سطح بالای `--time` پیروی می‌کند. این دستور زمان ایجاد پیوند را بر روی زمان مرجع تنظیم می‌نماید.

sq pki link authorize

تعیین یک گواهی به عنوان معرفی‌کننده مورد اعتماد (trusted introducer).

این کار باعث می‌شود `sq` گواهی را به عنوان یک معرفی‌کننده مورد اعتماد در نظر بگیرد. معرفی‌کننده مورد اعتماد عنوان دیگری برای مرجع صدور گواهی (CA) است. هنگامی که یک معرفی‌کننده مورد اعتماد را پیوند می‌دهید، تصدیق‌های صادرشده توسط آن معرفی‌کننده را معتبر می‌شمارید. یک معرفی‌کننده مورد اعتماد همچنین می‌تواند معرفی‌کننده‌های مورد اعتماد دیگری را تعیین کند.

یک معرفی‌کننده مورد اعتماد به خودی خود اختیارات بسیار بالایی دارد. این اختیارات را می‌توان به چندین روش محدود کرد.

- امکان تعیین معرفی‌کننده‌های بیشتر را می‌توان با استفاده از پارامتر `--depth` محدود ساخت.

- میزان اعتماد به یک معرفی‌کننده را می‌توان با استفاده از پارامتر `--amount` تغییر داد.

- شناسه‌های کاربری که یک معرفی‌کننده مجاز به تصدیق آن‌هاست را می‌توان بر اساس دامنه با استفاده از پارامتر `--domain` یا با یک عبارت منظم با استفاده از پارامتر `--regex` محدود نمود.

این سازوکارها به شما اجازه می‌دهند تعیین کنید که مثلاً حاضر به اتکا به مرجع CA برای دامنه example.org هستید، اما تنها برای شناسه‌های کاربری که نشانی رایانامه متعلق به دامنه example.org دارند.

یک پیوند را می‌توان با استفاده از `sq pki link retract` پس گرفت.

این دستور مشابه `sq pki vouch authorize` است، اما تصدیق‌های ایجادشده با استفاده از ریشه اعتماد دایرکتوری گواهی انجام می‌شوند، نه یک کلید دلخواه. افزون بر این، گواهی‌ها به صورت غیرقابل‌صدور (non-exportable) علامت‌گذاری می‌شوند. ویژگی نخست، مدیریت تصدیق‌ها را آسان‌تر می‌کند؛ به‌ویژه در حالتی که کلید تصدیق شما آفلاین باشد. ویژگی دوم نیز با کاهش احتمال افشای بخش‌هایی از گراف اجتماعی شما هنگام همرسانی گواهی، حریم خصوصی را ارتقا می‌دهد.

به‌طور پیش‌فرض، یک پیوند هرگز منقضی نمی‌شود. با استفاده از آرگومان `--expiration` می‌توان دوره‌های اعتبار مشخصی را تعریف نمود. این آرگومان امکان تعیین یک نقطه زمانی برای انقضای اعتبار یا یک بازه زمانی معین را فراهم می‌کند.

دستور `sq pki link authorize` از زمان مرجع تعیین‌شده توسط آرگومان سطح بالای `--time` پیروی می‌کند. این دستور زمان ایجاد پیوند را بر روی زمان مرجع تنظیم می‌نماید.

sq pki link retract

پس گرفتن پیوندها.

این دستور پیوندهایی را که پیش‌تر توسط `sq pki link add` یا `sq pki link authorize` ایجاد شده‌اند پس می‌گیرد. برای جزئیات بیشتر مستندات آن زیردستور را ببینید. توجه: این دستور `retract` (پس گرفتن) نامیده شده است و نه `remove` (حذف)، زیرا تصدیق‌ها حذف نمی‌شوند؛ بلکه یک تصدیق جدید افزوده می‌شود که بیان می‌کند انتساب مذکور اصالت‌سنجی نشده است.

دستور `sq pki link retract` از زمان مرجع مشخص‌شده توسط آرگومان سطح بالای `--time` پیروی می‌کند. این امر موجب می‌شود پیوند به جای زمان کنونی، از یک زمان مشخص در گذشته پس گرفته شود.

sq pki link list

فهرست کردن پیوندها.

این دستور تمامی انتساب‌هایی را که پیوند داده شده‌اند یا پیوند آن‌ها پس گرفته شده است فهرست می‌کند.

در صورتی که گواهی صریحاً مشخص‌شده هرگز پیوند داده نشده باشد، یک کد خروج غیرصفر برمی‌گرداند.

مثال‌ها (EXAMPLES)

sq pki link

پیوند دادن گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 با نشانی رایانامه alice@example.org.

sq pki link add \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 \

--email=alice@example.org

سپس، پذیرش موقت گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 به همراه تمام شناسه‌های کاربری خودامضاشدهٔ (self-signed) آن به مدت یک هفته.

sq pki link add --expiration=1w \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 --all

پذیرش گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 با تمامی شناسه‌های کاربری خودامضاشدهٔ آن به عنوان یک مرجع صدور گواهی مورد اعتماد محدود به دامنه example.org؛ بدین معنا که گواهی به عنوان یک معرفی‌کننده مورد اعتماد برای example.org در نظر گرفته می‌شود.

sq pki link authorize --domain=example.org \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 --all

فهرست کردن تمامی پیوندها.

sq pki link list

پس گرفتن پذیرش گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 و تمام شناسه‌های کاربری مرتبط با آن. این کار عملاً تمامی پیوندها را باطل می‌سازد.

sq pki link retract \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 --all

پیوند دادن گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 با نشانی ایمیل alice@example.org.

sq pki link add \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 \

--email=alice@example.org

ابتدا، بررسی گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0.

sq inspect --cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0

سپس، پذیرش موقت گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 به‌همراه تمام شناسه‌های کاربری خودامضای آن به مدت یک هفته.

sq pki link add --expiration=1w \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 --all

پس از اطمینان، پذیرش دائمی گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 به‌همراه تمام شناسه‌های کاربری خودامضای آن.

sq pki link add \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 --all

sq pki link authorize

افزودن یک معرف معتمد بدون محدودیت.

sq pki link authorize --unconstrained \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 --all

افزودن یک معرف معتمد برای example.org و example.com.

sq pki link authorize --domain=example.org \

--domain=example.com \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 --all

افزودن یک معرف با اعتماد نسبی.

sq pki link authorize --unconstrained --amount=60 \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 --all

sq pki link retract

پیوند دادن گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 با نشانی ایمیل alice@example.org.

sq pki link add \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 \

--add-email=alice@example.org

پس گرفتن پذیرش گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 و نشانی ایمیل alice@example.org.

sq pki link retract \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 \

--email=alice@example.org

پس گرفتن پذیرش گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 و هر شناسهٔ کاربری وابسته به آن. این کار عملاً تمامی پیوندها را باطل می‌کند.

sq pki link retract \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 --all

پیوند دادن گواهی EB28F26E2739A4870ECC47726F0073F60FD0CBF0 به نشانی ایمیل alice@example.org.

sq pki link add \

--cert=EB28F26E2739A4870ECC47726F0073F60FD0CBF0 \

--email=alice@example.org

فهرست کردن تمام پیوندها.

sq pki link list

فهرست کردن پیوندها به گواهی‌هایی با یک شناسه کاربری احرازهویت‌شده که شامل یک نشانی ایمیل در دامنه مشخص‌شده است.

sq pki link list --cert-domain=example.org

همچنین ببینید (SEE ALSO)

sq(1), sq-pki(1), sq-pki-link-add(1), sq-pki-link-authorize(1), sq-pki-link-retract(1), sq-pki-link-list(1).

برای مشاهده مستندات کامل به https://book.sequoia-pgp.org مراجعه کنید.

نسخه (VERSION)

1.4.0