非对称加密需要公钥和私钥： 你的公钥的作用：别人用来给你发加密的信息(公钥加密)＆别人验证你的签名(公钥解密)，即加密&验证（别人来做）
具体而言，Alice要想发送加密信息到Bob，则：
使用GPG可以很好的演示这一点： 1 2 3 4 5 6 gpg (GnuPG) 2.1.11 libgcrypt 1.6.5 Copyright (C) 2016 Free Software Foundation, Inc. License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html> This is free software: you are free to change and redistribute it. There is NO WARRANTY, to the extent permitted by law.
首先，我们在安装好GPG之后（GnuPG官方文档 ），可以使用 gpg --gen-key 生成属于我们自己的一对公钥和私钥（通常一个GPG密钥包含多个RSA密钥对，一对主密钥，若干对不同用途的子密钥，一对密钥包括一个公钥和一个私钥。一般 gpg --gen-key 得到的，就包括一对主密钥，可以用于签名与认证[SC]；一对子密钥用于加密[E]）。之后我们可以使用 gpg --export [UID] 来输出UID所对应的公钥，比如对于我来说：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 lgl@pArch ~ $ gpg --export -a 刘海博 -----BEGIN PGP PUBLIC KEY BLOCK----- Version: GnuPG v2 mQENBFbnwUkBCADtMQ73lZ1XEbcNbGyaF5IHQ1aoYBrIhj+BpXbV9Qz95OxqOoFP 6s0n1/cBhpjhhqm2hlJFhwrKIDMkTKBY0rif3ZHdHVKK7k7xW0qYWa0HZDtRApao N3lZ3Ay2EyTSPj6SoFxleLm8LoftlDscp90kK/zGiXf95pslTmk4ziSolOtPTvP7 FpSaYizOO3JfUKUDrTdXRcEx2p7KmXi8v1O33bY0YG6yRmff90DzMxYqQ2LUQBfl hVSu3mYKpP5IQ0tNgTCbUiyVqOX+TdxQoqMiTWiWvD5OJZf+7RqnbpQ9l6epmUEk HAJcvhcEfLeDslt2o+x2s7BXW1o71/Xa3Q/fABEBAAG0HuWImOa1t+WNmiA8c2hp bmluZ2xoYkAxNjMuY29tPokBNwQTAQgAIQUCVufBSQIbAwULCQgHAgYVCAkKCwIE FgIDAQIeAQIXgAAKCRBbDqAL2u3LWxkXB/96dBtELKkA6hc2BLBxLBxchakEeaMK lXDEiom6kwiqeI/H3KJchOtlTbBLGUmSdRAm3rX5UkVtaDvxW6iWuNzcbDZN6oCe YCFqOvmzLZ+YWh48tRBJOTEzrkZrT/OpTGRtRI0cAIAJ68rMc5Vpxl1Vqknp/BzI z84qPGBWgThy/UlgcFnbkZVLh37FLmIhtTMIbA1whum570/a/bnKP6xWnB4P5ryn 6lXLBMDMA2a0jtgzmywXm60nI6M77lzfd6UXGX0NQOU/AP+v0hNzkl4+KapEOONC x7MjoL09b946Tqysly5u6gJpK/YmD0UUnVrH2OW6YQy/UmXQk7mKjG/7uQENBFbn wUkBCACx3kvVDVjuo/LQrODb0wZig7NrsLasQ+dAOo/9UXY53wjrnLPiZLRbtYm1 tPFMykAv/23+vLXmLFW7gd0PjGOPZE4Q0/vR/Re+vJjonH3Z6E+DidE7T9vQmuB4 aLIvDpEcAWKSRN75/zLKzAysqHwEBXeSVD89bSMdH4rPpC70hABZZuVYC3rEkrdZ 6EcW7jca71eKVTKQRznuTZKzpHG8XwcgTt5qtmbZmWxIT4SMdxyI//fpAUjDc913 qN9i/ZY668g8URQLxCUTdFy04p1Vft1yCByZF9Pie5paVO28kgegZf1O6+k1rR42 WHbtLFq7xYgW3vOG9I9yQdA8oOUHABEBAAGJAR8EGAEIAAkFAlbnwUkCGwwACgkQ Ww6gC9rty1vt+ggAza5faR5AeHgIOnUyI3j28GxFey3E7CbVRO0ubO7Iq5qy+P1z EQPmnpeQ/FpDabvP4P7qds77U2wFbvsa/Ar4ZuznmNuL9r8fGJn6BrmPLAMxfwOo c+w6qN0iYp+kl6pRTYYolICyZfq/CLrDKxUaAHlSpZoEI5CUIs/tntcLJRSei/1S GUjXS7sqlVafNM2Vqxy3XBqVffXGsUNXr1zRGz/Dia9Kt3sztDYDjo3csHlEPVTw v1gRxVTnsrmoQlJ7+S2tT6hocuD5k6Ye11vyCMYny6BxCYz5CW6HtvAWs9kXT6E3 hTFS5THpkuu+uZLPM2CGJuFLdwNrBzMXHrqRaQ== =Eh6b -----END PGP PUBLIC KEY BLOCK-----
以上就是我的公钥，其中 -a 是为了让字符以ASCII形式输出，而不是二进制。隐含地，结果将输出到标准输出（stdout）去，可以用 -o 选项把它放到一个文件里去。gpg --import [filename] 即可导入别人的公钥，这个存放公钥的文件可以使用 -o 选项导出。gpg --list-keys 查看当前所有的公钥，比如：
1 2 3 4 5 6 7 8 9 10 11 lgl@pArch ~/tmp/GPGtest $ gpg --list-keys /home/lgl/.gnupg/pubring.kbx ---------------------------- pub rsa2048/DAEDCB5B 2016-03-15 [SC] uid [ 绝对 ] 刘海博 <shininglhb@163.com> sub rsa2048/7D6453AF 2016-03-15 [E] pub dsa1024/C9C40C31 2001-05-25 [SCA] uid [ 未知 ] Justin R. Miller <justin@solidlinux.com> uid [ 未知 ] Justin R. Miller <justin@voxel.net> sub elg1024/59FAB546 2001-05-25 [E]
说明我现在有两个公钥，一个是我自己的，另一个是Justin的。钥匙号分别为 DAEDCB5B 和 C9C40C31 ，说到钥匙号，我们也可以使用别人的公钥钥匙号导入公钥 gpg --recv-keys 0xC9C40C31 。
1 2 3 4 5 6 7 lgl@pArch ~/tmp/GPGtest $ gpg --verify sample.txt.asc gpg: 于 Fri 17 Aug 2001 06:56:01 AM CST 创建的签名，使用 DSA，钥匙号 C9C40C31 gpg: 完好的签名，来自于“Justin R. Miller <justin@solidlinux.com>” [未知] gpg: 亦即“Justin R. Miller <justin@voxel.net>” [未知] gpg: 警告：这把密钥未经受信任的签名认证！ gpg: 没有证据表明这个签名属于它所声称的持有者。 主钥指纹： 2231 DFF0 869E E3A5 885A E7D4 F787 7A2B C9C4 0C31
以上信息可以看出，我们使用Justin的公钥可以认证这个文件，且文件的内容未曾被更改。但是有警告信息，这些信息是在告诉我们：如果这把公钥真的是Justin的，那么这个文件就是Justin的，但是这把公钥的真伪并没有的到验证，可能存在我们当初得到的公钥是被别人替换过的公钥的情况。为此，我们应当跟Justin本人确认此公钥的正确性，如果确认无误，我们可以对这个公钥进行信任程度设置（稍后再讲信任度的设置）。--detach-sign 选项（下文会讲到此选项的含义）将签名保存到单独的文件里，那么完整的验证命令是这样的 gpg --verify signfile [datafile]。比如 gpg --verify sample.txt.asc sample.txt (如果 sample.txt.asc 是单独的签名文件，sample.txt 是原始数据文件的话)。
接下来看使用GPG加密与解密的过程： 首先，我们写一些话，想要发给Justin（Hello.txt）：
1 2 Hello, I am Liu Haibo. This is my sample text sending to Justin.
既然我们想发给Justin，那么我们自然需要用Justin的公钥对其进行加密（然后Justin再用自己的私钥对我发过去的加密内容进行解密），加密使用到的命令是 gpg -e 要加密的文件名 或者是 gpg --encrypt 要加密的文件名 ，我们可以再加 -r 参数直接指定要发送的人的UID（即选用指定的公钥），如果此处不使用 -r ，在执行加密的过程中也会要求填写接收人的UID：
1 2 3 4 5 6 7 8 9 10 lgl@pArch ~/tmp/GPGtest $ gpg -r justin -e Hello.txt gpg: 59FAB546：没有证据表明这把密钥真的属于它所声称的持有者 sub elg1024/59FAB546 2001-05-25 Justin R. Miller <justin@voxel.net> 主钥指纹： 2231 DFF0 869E E3A5 885A E7D4 F787 7A2B C9C4 0C31 子钥指纹： 5B6A 9C4D 7C54 5936 B9F5 4D8B EDD4 CD22 59FA B546 这把密钥并不一定属于用户标识声称的那个人。如果您真的知道自 己在做什么，您可以在下一个问题回答 yes。 无论如何还是使用这把密钥吗？(y/N)y
以上可以看出，虽然我们对内容进行了加密，但是由于我们还没有对公钥进行信任度设置，gpg仍在提醒我们公钥本身有可能就是假的。
1 2 3 lgl@pArch ~/tmp/GPGtest $ cat Hello.txt.gpg ����"Y��F�����re�5m�j ��� ...
乱码，因为这是二进制文件。--armor 参数（以ASCII而不是二进制输出）：
1 2 3 4 5 6 7 8 9 10 lgl@pArch ~/tmp/GPGtest $ gpg -r justin -e --armor Hello.txt gpg: 59FAB546：没有证据表明这把密钥真的属于它所声称的持有者 sub elg1024/59FAB546 2001-05-25 Justin R. Miller <justin@voxel.net> 主钥指纹： 2231 DFF0 869E E3A5 885A E7D4 F787 7A2B C9C4 0C31 子钥指纹： 5B6A 9C4D 7C54 5936 B9F5 4D8B EDD4 CD22 59FA B546 这把密钥并不一定属于用户标识声称的那个人。如果您真的知道自 己在做什么，您可以在下一个问题回答 yes。 无论如何还是使用这把密钥吗？(y/N)y
接下来再查看加密后的文件（Hello.txt.asc）：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 lgl@pArch ~/tmp/GPGtest $ cat Hello.txt.asc -----BEGIN PGP MESSAGE----- Version: GnuPG v2 hQEOA+3UzSJZ+rVGEAP/YTDy4HcGP9PyvfKxH30fZtVJ/jqg/+NKJjTecuSdchSc RxDBwu0zEmpV0pdnllBteayfabPr1JDJdZ5UX6yCpsc/vON6nRVULGHSkACIXsmc m2vCTIMlbbnclu4bRSoXU5tI2tgWie6xFrZUMH7q4pRVUrL9wMYRyTUsP6wcJDYD /1ybF3IWEWjYiLWS+KDbiQUcvpLrJzXXNsiYsIUV4no1Uh14SOKraU3sz7zGq/Sy FuhdMALDENqVX2+tGhi9/u3qJq5NgSn1v+uUwJFqehYbO514LAxSczWSQGE7APUN vOPhLJURN7iHdN1cHnJvi2zvDHcvMssPwwPjUKtnnR3Z0oEBW8LuO7pICGZ5PDss 4ItACKwNQYPcNGukYvO+LuRbE7uxMegROeqpLPOjVNsNOiCQVHl4pI9KSV+WLFXl xgurX4Up1uUi1rW1mPZEaXbnMT+rcenY508Dj6ayYAN07XP5/wg5HDQF0S2+OIhW VQEkj6DiqZfbIEUSz2SDm5zIZiU= =IMgg -----END PGP MESSAGE-----
虽然是字符，但显然内容已经被加密了，无法看懂。
为了演示解密过程，我们再举一个例子： 还是刚刚那个文件，命名为Hi.txt，这次我们用自己的公钥加密（这样我就可以用自己的私钥解密了）：
1 2 3 4 lgl@pArch ~/tmp/GPGtest $ gpg -r 刘海博 -e Hi.txt lgl@pArch ~/tmp/GPGtest $ cat Hi.txt.gpg �`����5�� ...
显然这个生成的Hi.txt.gpg是二进制的，我们再生成一个ASCII的，名称默认为Hi.txt.asc：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 lgl@pArch ~/tmp/GPGtest $ gpg -r 刘海博 -e --armor Hi.txt lgl@pArch ~/tmp/GPGtest $ cat Hi.txt.asc -----BEGIN PGP MESSAGE----- Version: GnuPG v2 hQEMA9RdjQJ9ZFOvAQgAhZ0OTp/AVjE+8eLxFUt5W4UM1ZbsiJ0KMB8gAPm+5Lqx ewOGtRXN2jWkRIuYXi0UKQmv/uTOUXQFDGpmeBtm2dkX+TV54GCdrarxq32soZzk Kxbvj0ucpiSP/EUsWtNacuThhzgiibxGZq6LlD71t6UZhVC8MtQ7AOi1yeh9cZV9 KCJLH8a81yU6hL+uk8OnOn6RJW6jMaITNpN36k4kbwLbrYAzSkD/m9zEatVE/Jpm ozYyV9NznAETLZ3i+RcmTAMzP4Ka1R9luwSvNKdHbdEq/jboJZaS2Ye+JLfW38ID 4P00Z91U0JoM64lqVlskzH2zIfZJpj+uLJiskQDw+NKCAbanCIfDqAn/2LYlDoMI oHRI6Qq58OSYj4iw2OVmzUYQQVLg0s4RsrMKHtLRWc8KR5wcw8pWxD0gdQrTqUEi tvv9y2c3afhn7AQzDvtIxrQIt/7MS37e4A6Y6f9Ax43rWLmL0198tRuojrwpk6UR uTF5oyUpJx2VFYUDtVh2JKCzjQ== =zvVm -----END PGP MESSAGE-----
对于这两个加密的文件（一个Hi.txt.gpg，一个Hi.txt.asc），分别对其进行解密，使用 gpg -d 密文文件名 或者 gpg --decrypt 密文文件名 ：
1 2 3 4 5 6 7 8 9 10 11 lgl@pArch ~/tmp/GPGtest $ gpg -d Hi.txt.asc gpg: 由 2048 位的 RSA 密钥加密，钥匙号为 7D6453AF、生成于 2016-03-15 “刘海博 <shininglhb@163.com>” Hello, I am Liu Haibo. This is my sample text sending to Justin. lgl@pArch ~/tmp/GPGtest $ gpg -d Hi.txt.gpg gpg: 由 2048 位的 RSA 密钥加密，钥匙号为 7D6453AF、生成于 2016-03-15 “刘海博 <shininglhb@163.com>” Hello, I am Liu Haibo. This is my sample text sending to Justin.
均成功解密，显示了加密之前的信息。
1 2 3 4 lgl@pArch ~/tmp/GPGtest $ gpg -d Hello.txt.asc gpg: 由 1024 位的 ELG 密钥加密，钥匙号为 59FAB546、生成于 2001-05-25 “Justin R. Miller <justin@solidlinux.com>” gpg: 解密失败：没有秘匙
显然失败了，因为我们只有属于自己的私钥，不可能解开别的公钥加密过的文件。gpg --edit-key ：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 lgl@pArch ~/tmp/GPGtest $ gpg --edit-key justin@solidlinux.com gpg (GnuPG) 2.1.11; Copyright (C) 2016 Free Software Foundation, Inc. This is free software: you are free to change and redistribute it. There is NO WARRANTY, to the extent permitted by law. pub dsa1024/C9C40C31 创建于：2001-05-25 有效至：永不过期 可用于：SCA 信任度：未知 有效性：未知 sub elg1024/59FAB546 创建于：2001-05-25 有效至：永不过期 可用于：E [ 未知 ] (1). Justin R. Miller <justin@solidlinux.com> [ 未知 ] (2) Justin R. Miller <justin@voxel.net> gpg> sign Really sign all text user IDs? (y/N) y pub dsa1024/C9C40C31 创建于：2001-05-25 有效至：永不过期 可用于：SCA 信任度：未知 有效性：未知 主钥指纹： 2231 DFF0 869E E3A5 885A E7D4 F787 7A2B C9C4 0C31 Justin R. Miller <justin@solidlinux.com> Justin R. Miller <justin@voxel.net> 您真的确定要签名这把密钥，使用您的密钥 “刘海博 <shininglhb@163.com>”(DAEDCB5B) 真的要签名吗？(y/N)y gpg> trust pub dsa1024/C9C40C31 创建于：2001-05-25 有效至：永不过期 可用于：SCA 信任度：未知 有效性：未知 sub elg1024/59FAB546 创建于：2001-05-25 有效至：永不过期 可用于：E [ 未知 ] (1). Justin R. Miller <justin@solidlinux.com> [ 未知 ] (2) Justin R. Miller <justin@voxel.net> 您是否相信这位用户有能力验证其他用户密钥的有效性(查对身份证、通过不同的渠道检查 指纹等)？ 1 = 我不知道或我不作答 2 = 我不相信 3 = 我勉强相信 4 = 我完全相信 5 = 我绝对相信 m = 回到主菜单 您的决定是什么？5 您真的要把这把密钥设成绝对信任？(y/N)n 您的决定是什么？4 pub dsa1024/C9C40C31 创建于：2001-05-25 有效至：永不过期 可用于：SCA 信任度：完全 有效性：未知 sub elg1024/59FAB546 创建于：2001-05-25 有效至：永不过期 可用于：E [ 未知 ] (1). Justin R. Miller <justin@solidlinux.com> [ 未知 ] (2) Justin R. Miller <justin@voxel.net> 请注意，在您重启程序之前，显示的密钥有效性未必正确， gpg> quit 要保存变动吗？(y/N)y
之后再查看公钥列表：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 lgl@pArch ~/tmp/GPGtest $ gpg --list-keys gpg: 正在检查信任度数据库 gpg: marginals needed: 3 completes needed: 1 trust model: PGP gpg: 深度：0 有效性： 1 已签名： 1 信任度：0-，0q，0n，0m，0f，1u gpg: 深度：1 有效性： 1 已签名： 0 信任度：0-，0q，0n，0m，1f，0u /home/lgl/.gnupg/pubring.kbx ---------------------------- pub rsa2048/DAEDCB5B 2016-03-15 [SC] uid [ 绝对 ] 刘海博 <shininglhb@163.com> sub rsa2048/7D6453AF 2016-03-15 [E] pub dsa1024/C9C40C31 2001-05-25 [SCA] uid [ 完全 ] Justin R. Miller <justin@solidlinux.com> uid [ 完全 ] Justin R. Miller <justin@voxel.net> sub elg1024/59FAB546 2001-05-25 [E]
原来Justin的公钥之前显示的[未知]已经变成我们设置的[完全]了。我们可以发现我们自己的公钥被默认设置为绝对信任，这显然是必须的，也是肯定正确的。我们还可以发现修改完信任度之后再查询公钥时，gpg会先查询信任度数据库，这说明这些信任信息不是存在储存钥匙的文件里，而是存在另一个文件里的。
最后，我们说一下签名： 为避免 “别人宣称是你” 这样的风险，对所有你加密的东西签名是有用的。签名的意义在于两个方面：Authenticity(身份认证)和Integrity(数据完整性)。即数字签名可以证明数据是你发送的，并同时证明发送的内容未曾被别人修改过。gpg -s [Data] 或者 gpg --sign [Data] 。这样做的时候，同时数据也被压缩。也就是说，最终结果是无法直接读懂的。若你想要一个能直接读懂的结果，你可以用 gpg --clearsign [Data] ，这样就能保证结果是清晰可读的。同时它也照样对数据签名：
1 2 3 4 5 lgl@pArch ~/tmp/minecraft $ gpg -s Hi.txt lgl@pArch ~/tmp/minecraft $ gpg --clearsign Hi.txt lgl@pArch ~/tmp/minecraft $ gpg --clearsign Hi.txt.asc
上面两条命令分别生成了Hi.txt.gpg和Hi.txt.asc两个文件。gpg --verify 签名文件：
1 2 3 4 5 6 lgl@pArch ~/tmp/minecraft $ gpg --verify Hi.txt.asc gpg: 于 Wed 16 Mar 2016 02:33:42 AM CST 创建的签名，使用 RSA，钥匙号 DAEDCB5B gpg: 完好的签名，来自于“刘海博 <shininglhb@163.com>” [绝对] lgl@pArch ~/tmp/minecraft $ gpg --verify Hi.txt.gpg gpg: 于 Wed 16 Mar 2016 02:33:18 AM CST 创建的签名，使用 RSA，钥匙号 DAEDCB5B gpg: 完好的签名，来自于“刘海博 <shininglhb@163.com>” [绝对]
两个文件均验证为正确，说明这两个文件是“刘海博”签的名。gpg -b (--detach-sign) [Data]，还可以将签名写进另一个文件。我们高度推荐这种用法，尤其是对二进制文件（如文档）签名的时候。另外，--armor 选项在这儿也非常有用。
1 2 3 4 5 lgl@pArch ~/tmp/minecraft $ gpg -d Hi.txt.asc Hello, I am Liu Haibo. This is my sample text sending to Justin. gpg: 于 Wed 16 Mar 2016 02:33:42 AM CST 创建的签名，使用 RSA，钥匙号 DAEDCB5B gpg: 完好的签名，来自于“刘海博 <shininglhb@163.com>” [绝对]
可以看到区别就在与 verify 只显示认证的结果，而 decrypt 同时也显示出了原数据的内容。
1 2 3 4 5 6 7 8 9 lgl@pArch ~/tmp/minecraft $ gpg --verify Hi.txt.asc gpg: 于 Wed 16 Mar 2016 02:33:42 AM CST 创建的签名，使用 RSA，钥匙号 DAEDCB5B gpg: 已损坏的签名，来自于“刘海博 <shininglhb@163.com>” [绝对] lgl@pArch ~/tmp/minecraft $ gpg -d Hi.txt.asc Hello, I am Liu Haibdddddo. This is my sample text sending to Justin. gpg: 于 Wed 16 Mar 2016 02:33:42 AM CST 创建的签名，使用 RSA，钥匙号 DAEDCB5B gpg: 已损坏的签名，来自于“刘海博 <shininglhb@163.com>” [绝对]
可以看出签名的第二个功能生效了，我们可以根据签名验证文件内容是否被修改。
1 2 3 4 5 6 7 8 9 -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 // 此处为原文件内容或者是加密后的密文 -----BEGIN PGP SIGNATURE----- Version: GnuPG v2 // 此处为加密后的签名信息 -----END PGP SIGNATURE-----
为什么要先签名后加密？ 答：
1）如果Alice与Bob之间交换公钥没有其他任何人截获，那先加密再签名也没事。因为Bob明确地知道Alice的公钥只有自己才有，只要有人篡改信息，Bob这边验证就会失败。
但是，如果先签名后加密，那么原文内容和签名信息是合在一起被加密的。即使Eve截获文件，也无法解密内容来替换成假签名。因为只有Bob才有私钥可以解密文件。但这样还是无法避免Alice和Bob交换公钥时被Eve截获然后冒充。
因此，更安全的办法是：
要做到既加密又签名，完整的命令行大致如下：
1 gpg [-u Sender] [-r Recipient] [--armor] --sign --encrypt [Data]
最后说一下密钥迁移的问题： 如果我们现在想换电脑，无疑我们需要把之前的公钥和自己的私钥全部都导出来。
1 2 gpg --export puppylpg > puppylpg.public gpg --export -secret-key puppylpg > puppylpg.private
我们将puppylpg的两个密钥导出成为两个文件，之后再导入另一个电脑。
1 2 gpg --import puppylpg.public gpg --allow-secret-key-import --import puppylpg.private
注意导入私钥的时候需要添加 --allow-secret-key-import 给予允许添加私钥的权限，并且也不能遗漏 --import 参数。
即便用导出密钥的方式来备份密钥，主机系统上的 GPG 密钥仍有被盗的风险。为了获得最佳安全性，可以使用 USB 类型的智能卡配合 GPG 从而保护密钥。这样的智能卡有 Nitrokey Pro 和 Yubikey 4 等等。查看下面链接获取这些智能卡的使用详情：
Yubikey Wiki 在 GPG 中使用智能卡 Yubikey 4 简介与配置 可能是最好的 Yubikey + GPG/SSH 智能卡教程
参考：
原文：https://blog.csdn.net/puppylpg/article/details/50901779 http://blog.csdn.net/puppylpg/article/details/50899484 http://www.shafa.com/articles/zhPd9zCFMDay8Nax.html