Age - ferramenta de criptografia de arquivos simples, moderna e segura

• Uma ferramenta, formato e biblioteca Go de criptografia de arquivos simples, moderna e segura
• Caracteriza-se por chaves pequenas e explícitas, ausência de opções de configuração e composabilidade no estilo UNIX
• Também oferece suporte a tokens PIV de hardware como YubiKeys por meio de plugins
  • Há também vários outros plugins: Apple Secure Enclave, TPM, FIDO, SSS, Trezor Hardware Wallet,..
• Versões implementadas em várias linguagens: Go, Rust, TypeScript, Java, WASM, Elixir, Dart etc.
• Binários disponíveis para Mac, Linux, FreeBSD e Windows
• O formato é público age-encryption.org/v1

Como instalar

• Homebrew (macOS ou Linux): brew install age
• MacPorts: port install age
• Alpine Linux v3.15+: apk add age
• Arch Linux: pacman -S age
• Debian 12+ (Bookworm): apt install age
• Debian 11 (Bullseye): apt install age/bullseye-backports (é necessário ativar os backports)
• Fedora 33+: dnf install age
• Gentoo Linux: emerge app-crypt/age
• NixOS / Nix: nix-env -i age
• openSUSE Tumbleweed: zypper install age
• Ubuntu 22.04+: apt install age
• Void Linux: xbps-install age
• FreeBSD: pkg install age (security/age)
• OpenBSD 6.7+: pkg_add age (security/age)
• Chocolatey (Windows): choco install age.portable
• Scoop (Windows): scoop bucket add extras && scoop install age
• pkgx: pkgx install age
• Binários pré-compilados disponíveis
  • Disponível para Windows, Linux, macOS e FreeBSD
  • Link para download

Como usar

$ age-keygen -o key.txt  
Public key: age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p  
$ tar cvz ~/data | age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p > data.tar.gz.age  
$ age --decrypt -i key.txt data.tar.gz.age > data.tar.gz  

Resumo do GN⁺

• age é uma ferramenta de criptografia de arquivos simples e moderna, caracterizada por chaves explícitas e ausência de opções de configuração
• Pode ser instalada facilmente em diversos sistemas operacionais e oferece suporte a múltiplos destinatários e textos cifrados
• Também permite criptografia usando chaves SSH e chaves de usuário do GitHub, o que a torna conveniente
• Fornece provas Sigsum para garantir a segurança e a transparência dos arquivos criptografados
• Ferramentas com funcionalidades semelhantes incluem GnuPG e OpenSSL

[seunggi]

Assinatura

• minisign : libsodium
• signify : bsd
• minisign vs signify

Criptografia

• age : chave pública / privada
• encpipe : frase-senha
• age vs encpipe

Outros

• SOPS : gerenciamento de segredos
• dotenvx : criptografia/descriptografia de .env
• GnuPG : assinatura + criptografia/descriptografia + ...
• OpenSSL: assinatura + criptografia/descriptografia + ...

[GN⁺]

Comentários do Hacker News

• Seria ótimo se o Age se tornasse um padrão em sistemas Unix

  • Espero que ferramentas que sigam a filosofia Unix sejam mais usadas do que GPG/PGP
  • É raro surgir uma nova ferramenta padrão
  • jq é o exemplo mais próximo dos últimos tempos, mas não é um padrão pré-instalado

• Sou o autor do Age

  • O projeto Age cresceu de forma orgânica
  • É sempre um prazer ver o que as pessoas constroem com o Age
  • Estou pronto para responder perguntas
  • Compartilho links para discussões anteriores
  • Também compartilho recursos relacionados, como a lista de projetos do ecossistema Age, a especificação do formato, a documentação da biblioteca Go, a página de manual da CLI, uma suíte de testes em larga escala, a implementação em Rust, a implementação em TypeScript, o plugin para YubiKey, a especificação do protocolo de plugins, a GUI para Windows, discussões sobre propriedades de autenticação, sobre a arquitetura de plugins, sobre plugins pós-quânticos e um fork de cofre de senhas que usa Age

• Usando Age, a implementação em Rust Rage, agenix e age.el, ficou muito fácil fazer deploy e gerenciamento de self-hosting

  • Combinado com a praticidade do NixOS, isso viabiliza o self-hosting
  • A ansiedade com a configuração de novos servidores e a perda de tempo/oportunidade atrapalhavam o self-hosting
  • O Age é excelente
  • A análise da ferramenta de backup Restic ajudou a configurar uma solução de backup

• Existem ferramentas especializadas de backup como Restic ou Borg, mas quero manter tudo simples

  • Pergunta se é aceitável criptografar arquivos com Age e depois enviá-los para um armazenamento em nuvem não confiável
  • Usa o fluxo tar > age > cloud
  • Pergunta se é uma boa assinar com Minisign
  • Sugere o fluxo tar > age > minisign > cloud

• Pergunta quando sairá uma versão pós-quântica ou um plugin do mesmo autor

• A pronúncia de Age é [aɡe̞], pronunciado como GIF

• O Age cumpre bem seu papel, mas como não faz verificação de integridade/autenticidade, é melhor usá-lo junto com uma ferramenta como Signify

  • Link para o Signify incluído

• O Age oferece uma experiência muito melhor do que PGP/GPG

  • O tratamento de opções e argumentos é intuitivo
  • Ele ajuda a entender melhor o processo de criptografia
  • Foi fácil configurar Yubikey e Passage