gpgコマンドでファイルを暗号化・復号する方法｜鍵管理から実務活用まで

この記事のポイント

・gpg -c でパスフレーズによる簡易暗号化ができる
・gpg --gen-key で公開鍵ペアを生成し相手と安全に通信できる
・--armor オプションで ASCII 形式の可搬性のある暗号文を出力できる
・鍵のエクスポート・インポートで複数サーバー間の運用に対応できる

# 基本構文
gpg [オプション] [ファイル]

# バージョン確認
gpg --version

# backup.tar.gz をパスフレーズで暗号化
# 実行するとパスフレーズの入力プロンプトが表示される
gpg -c backup.tar.gz

# 結果: backup.tar.gz.gpg が作成される
ls -lh backup.tar.gz*
-rw-r--r-- 1 tomohiro tomohiro 4.2M May  8 10:15 backup.tar.gz
-rw-r--r-- 1 tomohiro tomohiro 4.2M May  8 10:15 backup.tar.gz.gpg

# ASCII 形式（テキスト）で暗号化
gpg -c --armor secret.txt

# 結果: secret.txt.asc が作成される
cat secret.txt.asc
-----BEGIN PGP MESSAGE-----

jA0EBwMCWzlHsEqtgJH/0kMBUULzYp3/...（暗号化データ）
-----END PGP MESSAGE-----

# backup.tar.gz.gpg を復号（パスフレーズ入力が求められる）
gpg -d backup.tar.gz.gpg > backup_restored.tar.gz

# または --output でファイル名を明示
gpg --output backup_restored.tar.gz --decrypt backup.tar.gz.gpg

# 復号後のファイルを確認
ls -lh backup_restored.tar.gz
-rw-r--r-- 1 tomohiro tomohiro 4.2M May  8 10:22 backup_restored.tar.gz

# 対話形式で鍵ペアを生成
gpg --gen-key

# 出力例（RHEL 9.4 / Ubuntu 24.04 LTS）
GnuPG needs to construct a user ID to identify your key.

Real name: Tomohiro Miyazaki
Email address: tomohiro@example.com
You selected this USER-ID:
    "Tomohiro Miyazaki "

Change (N)ame, (E)mail, or (O)kay/(Q)uit? O

# 公開鍵一覧
gpg --list-keys
/home/tomohiro/.gnupg/pubring.kbx
---------------------------------
pub   ed25519 2026-05-08 [SC] [expires: 2029-05-07]
      A1B2C3D4E5F6G7H8I9J0K1L2M3N4O5P6Q7R8S9T0
uid           [ultimate] Tomohiro Miyazaki 
sub   cv25519 2026-05-08 [E] [expires: 2029-05-07]

# 秘密鍵一覧
gpg --list-secret-keys
/home/tomohiro/.gnupg/pubring.kbx
---------------------------------
sec   ed25519 2026-05-08 [SC] [expires: 2029-05-07]
      A1B2C3D4E5F6G7H8I9J0K1L2M3N4O5P6Q7R8S9T0
uid           [ultimate] Tomohiro Miyazaki 
ssb   cv25519 2026-05-08 [E] [expires: 2029-05-07]

# 公開鍵を ASCII アーマー形式でエクスポート
gpg --armor --export tomohiro@example.com > my-public-key.asc

# 内容確認
head -3 my-public-key.asc
-----BEGIN PGP PUBLIC KEY BLOCK-----

mDMEZhXX...

# 受け取った公開鍵をインポート
gpg --import partner-public-key.asc

# インポート確認
gpg: key XXXXXXXXX: public key "Partner Name " imported
gpg: Total number processed: 1
gpg:               imported: 1

# インポート後の鍵一覧確認
gpg --list-keys

# 相手のメールアドレスを指定して暗号化
# -r で受信者（recipient）を指定
gpg -e -r partner@example.com report.pdf

# ASCII 形式で暗号化（メール添付に便利）
gpg -e --armor -r partner@example.com report.pdf

# 結果: report.pdf.gpg（または report.pdf.asc）が作成される
ls -lh report.pdf*
-rw-r--r-- 1 tomohiro tomohiro  1.2M May  8 10:35 report.pdf
-rw-r--r-- 1 tomohiro tomohiro  1.3M May  8 10:35 report.pdf.gpg

# 秘密鍵のパスフレーズを入力して復号
gpg --output report_decrypted.pdf --decrypt report.pdf.gpg

gpg: encrypted with cv25519 key, ID XXXXXXXXX, created 2026-05-08
      "Tomohiro Miyazaki "

# 復号されたファイルを確認
ls -lh report_decrypted.pdf
-rw-r--r-- 1 tomohiro tomohiro 1.2M May  8 10:40 report_decrypted.pdf

# パスフレーズを安全な場所に保存（権限を600に）
echo "my-secret-passphrase" > /root/.gpg-passphrase
chmod 600 /root/.gpg-passphrase

# バッチモードで復号
gpg --batch --passphrase-file /root/.gpg-passphrase \
    --output output.tar.gz \
    --decrypt backup.tar.gz.gpg

echo "復号完了: $?"

# 秘密鍵のエクスポート（厳重に保管すること）
gpg --armor --export-secret-keys tomohiro@example.com > secret-key-backup.asc

# 信頼データベースのバックアップ
gpg --export-ownertrust > ownertrust-backup.txt

# 復元時
gpg --import secret-key-backup.asc
gpg --import-ownertrust ownertrust-backup.txt

# /var/backup/ 配下の全 .tar.gz をパスフレーズで暗号化
find /var/backup/ -name "*.tar.gz" -exec gpg -c {} \;

# 暗号化後に元ファイルを削除する場合
find /var/backup/ -name "*.tar.gz" | while read f; do
    gpg -c "$f" && rm -f "$f"
    echo "暗号化完了: $f"
done

# RPM パッケージの署名確認
rpm --checksig package.rpm

# または
rpm -K package.rpm
package.rpm: digests signatures OK

# インポート済みの GPG 鍵を確認
rpm -q gpg-pubkey
gpg-pubkey-fd431d51-4ae0493b
gpg-pubkey-2fa658e0-45700c69

# エラー例
gpg --decrypt encrypted_file.gpg
gpg: encrypted with 1 passphrase
gpg: decryption failed: No secret key

# 確認: 自分の秘密鍵一覧
gpg --list-secret-keys

# 確認: 暗号化に使われた鍵 ID を調べる
gpg --list-packets encrypted_file.gpg | grep "keyid"

# キーサーバーへの接続失敗
gpg --recv-keys XXXXXXXXX
gpg: keyserver receive failed: Network is unreachable

# 代替キーサーバーを指定
gpg --keyserver hkps://keys.openpgp.org --recv-keys XXXXXXXXX

# または直接インポート
gpg --import key.asc

# 警告
gpg: WARNING: unsafe permissions on homedir '/home/tomohiro/.gnupg'

# 修正: .gnupg ディレクトリの権限を修正
chmod 700 /home/tomohiro/.gnupg
chmod 600 /home/tomohiro/.gnupg/*
ls -la /home/tomohiro/.gnupg/
drwx------ 3 tomohiro tomohiro 4096 May  8 10:00 .