Age – 简单、现代且安全的加密工具

在数字时代，数据安全至关重要。传统的加密工具如 GPG/PGP 强大而全面，但其复杂的密钥管理和繁多的功能选项，往往让许多开发者和普通用户望而却步。正是在这样的背景下，一个名为 Age 的开源加密工具应运而生。Age 的设计理念是提供一个简单、现代且安全的加密解决方案，专注于文件加密这一核心任务，并力求做到极致。它拥有小巧、易于理解的代码库，旨在降低加密的认知门槛，让安全变得触手可及。

主要特性

Age 的核心优势在于其简洁的设计和对现代密码学的坚定选择。

1. 现代密码学基石：Age 摒弃了传统工具中可能存在的复杂算法选择，而是专注于使用经过广泛审查且被认为是安全的现代加密原语。它采用 X25519 进行密钥交换，ChaCha20-Poly1305 进行认证加密（AEAD），以及 scrypt 进行基于密码的密钥派生。这些选择不仅保证了强大的安全性，也为在没有专用硬件加速的 CPU 上提供了出色的性能。
2. 极简设计与“零配置”：Age 的设计哲学是“只做一件事，并把它做好”。它没有 GPG 复杂的信任模型、密钥环管理或数字签名功能。这种专注性使得其命令行接口（CLI）极其直观，学习曲线几乎为零。用户无需成为密码学专家，即可通过安全的默认设置进行加密，大大减少了因配置错误导致安全风险的可能性。
3. 两种直观的加密模式：
   • 对称加密（密码保护）：使用 -p 或 --passphrase 标志，通过密码即可快速加密文件，非常适合个人文件加密或临时分享。
   • 非对称加密（公钥加密）：使用 -r (recipient) 标志指定一个或多个公钥，实现只有指定接收者才能解密。
4. 无缝集成 SSH 密钥：对于开发者和系统管理员而言，Age 的一大亮点是能够直接使用现有的 SSH 密钥对进行加密和解密。这意味着无需生成和管理新的密钥，即可利用已部署和信任的 SSH 基础设施，极大地降低了采用门槛。
5. 遵循 Unix 哲学：Age 完全支持标准输入（stdin）和标准输出（stdout），使其非常适合在自动化脚本和管道（piping）中使用，轻松集成到现有的工作流中。
6. 插件化扩展能力：虽然核心工具保持简洁，但 Age 提供了灵活的插件系统。通过插件，可以轻松扩展其功能，例如支持 YubiKey 等硬件安全密钥进行加密/解密，或集成云服务密钥管理系统（KMS），为需要更高安全性的用户提供了强大的扩展能力。

安装与快速入门

Age 的安装非常简单，可以通过多种方式获取。

安装 Age：

• Go 用户：如果你已经安装了 Go 环境，可以直接通过 go install 安装：
  bash
go install filippo.io/age/cmd/age@latest
go install filippo.io/age/cmd/age-keygen@latest
• 预编译二进制文件：从 Age 的 GitHub 发布页面 下载适用于你操作系统的预编译二进制文件。
• 包管理器：许多操作系统和发行版都提供了 Age 的包。例如，在 macOS 上可以使用 Homebrew：
  bash
brew install age
  在 Debian/Ubuntu 上：
  bash
sudo apt install age

快速入门：

1. 生成密钥对：
   首先，你需要生成一个 Age 密钥对。私钥用于解密，公钥用于加密。
   bash
age-keygen -o key.txt
# 生成的公钥会显示在终端，私钥保存在 key.txt 文件中
# 示例公钥：age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p
   重要提示：请妥善保管 key.txt 文件，并设置严格的权限（chmod 600 key.txt），因为私钥的丢失将导致加密数据无法恢复。

2. 使用密码加密文件：
   bash
echo "这是我的秘密信息" > secret.txt
age -p secret.txt > secret.txt.age
# 此时会提示你输入并确认密码

3. 使用公钥加密文件：
   假设你的接收者公钥是 age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p。
   bash
age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p secret.txt > secret.txt.age
   你也可以使用 SSH 公钥进行加密。例如，加密给 GitHub 用户 username：
   bash
curl https://github.com/username.keys | age -R - secret.txt > secret.txt.age

4. 解密文件：

   • 密码解密：
     bash
age -d secret.txt.age > decrypted.txt
# 此时会提示你输入密码
   • 私钥解密：
     bash
age -d -i key.txt secret.txt.age > decrypted.txt
     如果你的私钥是受密码保护的 SSH 私钥，请确保 ssh-agent 正在运行，并且你已通过 ssh-add 将密钥添加到代理中。

使用场景与案例

Age 的简洁性和自动化友好特性使其在多种场景下都表现出色。

1. 自动化备份加密：
   在将敏感数据备份到云存储或不可信介质之前，使用 Age 进行加密是最佳实践。例如，将数据库备份或重要目录归档后直接加密：
   bash
pg_dump mydatabase | age -r age1... > mydatabase.sql.age
tar czf - /path/to/important/data | age -r age1... > data.tar.gz.age
2. Secrets Management（密钥管理）：
   Age 是现代 DevOps 实践中管理敏感配置（如 API 密钥、数据库凭证）的理想选择。它与 Mozilla SOPS (Secrets OPerationS) 工具的集成是黄金标准。通过 sops，开发者可以将加密后的 YAML、JSON 等结构化数据文件安全地存储在 Git 仓库中，并在 CI/CD 流水线中按需解密。
   “`yaml
   # .sops.yaml 示例配置
   creation_rules:
   • path_regex: .*.yaml
     encrypted_regex: ^(data|stringData)$
     age: >-
     age1zpsh77n2f5hpc52hp2k2tvn2rc22pnj90wn32d7s00wswd9g5gqsdm5s89 # CI/CD 公钥
     “`
3. CI/CD 流程中的敏感信息管理：
   Age 使得在 CI/CD 流水线中安全地处理敏感信息成为可能。核心工作流是“加密-提交-解密”模式：
   • 开发者使用 CI/CD 环境的公钥在本地加密敏感文件，然后将加密后的文件提交到 Git 仓库。
   • 在 CI/CD 流水线运行时，Runner 从平台提供的安全存储（如 GitHub Secrets）中获取对应的私钥，在作业中解密文件供后续部署使用。
   • 通过多接收者加密，一个文件可以同时被 CI/CD 环境和所有授权开发者的公钥加密，方便团队协作和本地调试。
4. 个人文件加密与分享：
   对于需要快速、简单地加密个人文件或与朋友分享加密文件，Age 的密码加密模式提供了极低的认知开销。

Age 与 GPG 的对比

Age 常常被拿来与 GPG (GNU Privacy Guard) 进行比较。两者都是加密工具，但设计哲学和适用场景大相径庭。

简而言之，Age 是对 GPG 复杂性的现代、简化回应，特别适合自动化和“只做一件事并做好”的场景。GPG 仍然是处理电子邮件加密、软件发布签名和需要复杂身份验证的场景下的黄金标准。两者是互补而非完全替代的关系。

常见问题与解决方案

尽管 Age 设计简洁，但在实际使用中，用户仍可能遇到一些常见问题，主要集中在密钥管理和工作流程上。

1. Error: could not decrypt: no identity matched

   • 问题描述：这是最常见的解密失败错误，意味着用于解密的私钥与加密时指定的任何一个公钥都不匹配。
   • 解决方案：
     • 仔细核对加密时使用的公钥（age1... 字符串）是否正确。
     • 确保解密时提供了正确的私钥文件（通过 -i 标志或将其放置在默认位置 ~/.config/age/keys.txt）。
     • 可以通过 age-keygen -y /path/to/private/key.txt 从私钥反向生成公钥进行验证。

2. 私钥文件权限问题

   • 问题描述：Age 拒绝使用权限过于开放的私钥文件。
   • 解决方案：出于安全考虑，Age 强制要求私钥文件具有严格的权限（例如 600 或 400）。在类 Unix 系统上，执行 chmod 600 /path/to/identity/file 即可解决。

3. 使用受密码保护的 SSH 私钥解密

   • 问题描述：使用受密码保护的 SSH 私钥解密时，Age 不会提示输入密码。
   • 解决方案：Age 本身不处理 SSH 密钥的密码交互。你需要确保 ssh-agent 正在运行，并通过 ssh-add /path/to/your/ssh/private_key 将密钥添加到代理中。ssh-add 会提示输入一次密码，之后 Age 即可无缝使用。

4. 私钥丢失的灾难性后果

   • 重要提示：Age 的设计是安全的，这意味着没有后门。如果私钥丢失，加密的数据将永远无法恢复。
   • 预防措施：务必安全地备份你的私钥。可以将其存储在密码管理器中，或进行物理备份，并确保备份本身也受到严格保护。

总结

Age 是一个令人耳目一新的加密工具，它以其简单性、现代密码学选择和对自动化友好的设计，为文件加密领域带来了新的活力。它不是 GPG 的完全替代品，而是一个专注于特定问题并提供优雅解决方案的工具。无论你是需要为自动化脚本加密敏感信息，还是仅仅想为个人文件提供一个简单可靠的保护，Age 都是一个值得尝试的强大选择。

通过与 sops 等工具的集成，以及对 SSH 密钥的无缝支持，Age 已经成为现代 DevOps 和安全实践中不可或缺的一部分。我们鼓励你访问其 GitHub 项目地址，亲自体验 Age 带来的简洁与安全。