Key management on Tom Meurs

GPG uitgelegd: van eerste key tot dagelijks gebruik

Tue, 06 Jan 2026 19:00:00 +0100

TL;DR GPG versleutelt bestanden en ondertekent dingen, en het zit onder pass, onder signed git commits en onder de checksums die maintainers publiceren. Eén commando en je hebt in vijf minuten een werkend keypair. Subkeys en een YubiKey komen later, of nooit, en de UX is slecht genoeg dat ik er hieronder uitgebreid over klaag.

GPG is een tool die ik jarenlang wilde leren en niet deed. De docs zijn een muur van tekst, de terminologie is een dialect op zich, en de foutmeldingen zijn cryptisch in beide betekenissen van het woord.

Pass: de unix password manager die gewoon werkt

Sat, 10 Jan 2026 12:00:00 +0100

TL;DR pass bewaart elk wachtwoord als een GPG-versleuteld bestand in een directory, en die directory ís het datamodel. pass -c email/gmail zet een wachtwoord vanuit elke terminal in je clipboard, pass git push maakt de backup, en het fzf-script verderop is hoe ik elk wachtwoord dat ik heb opzoek. De prijs is GPG-keymanagement, en die prijs is echt.

Ik heb jarenlang KeePass gebruikt. Daarna 1Password. Daarna Bitwarden. Allemaal prima tools, en elk ervan was te veel voor wat ik ervan vroeg. Te veel UI, te veel features, en een wachtwoord zat altijd aan de andere kant van een app waar ik eerst naartoe moest alt-tabben. Een kleine onderbreking, en die telden op.

YubiKey + pass + GPG + SSH: één key om ze allemaal te beheren

Tue, 13 Jan 2026 17:00:00 +0100

TL;DR Eén YubiKey draagt een GPG-key met een signing-, een encryption- en een authentication-subkey. gpg-agent geeft de authentication-subkey aan SSH, git signt met de signing-subkey en pass ontsleutelt met de encryption-subkey, dus één PIN ’s ochtends en een touch per actie vervangen elk wachtwoord dat ik vroeger typte. Het SSH-deel alleen is drie stappen en op zichzelf al de moeite.

Elke ochtend plug ik m’n YubiKey in, typ één PIN, en dat is het laatste geheim dat ik typ tot ik hem er weer uittrek. SSH naar een server, geen wachtwoord. Een commit signen, geen passphrase. Een secret uit pass halen, key aanraken. Eén ding in een USB-poort, en de rest van de dag regelt m’n authenticatie zichzelf.

Quantum-safe GPG-identiteit met meerdere aliassen

Sat, 18 Apr 2026 10:47:00 +0200

TL;DR Eén GPG-masterkey die alleen certificeert, offline. Drie aliassen eraan gebonden, zodat iedereen kan nagaan dat het dezelfde persoon is. Ed25519-subkeys voor signing en SSH, een ML-KEM-plus-X448-subkey voor encryptie zodat opgenomen ciphertext dicht blijft als er een quantumcomputer komt, en drie backups die er elk van uitgaan dat de andere twee weg zijn. Vereist GnuPG 2.5.

Een cryptografische signature betekent nog steeds precies wat er staat. Is de key van jou en klopt de signature, dan komt de inhoud van jou. Geen vendor heeft je die identiteit gegeven, geen CA kan hem intrekken, geen platform kan hem schorsen. Hij bestaat omdat jij de key hebt gegenereerd, en hij is van jou zolang jij de private helft in handen hebt. Het meeste wat “online identiteit” heet is geleend. Een handle die iemand kan bannen, een e-mailadres dat de domeineigenaar terugpakt op de dag dat het hem uitkomt. Een GPG-signature staat daar helemaal buiten.