# Руководство &kleopatra;

Marc Mutz

    marc@klaralvdalens-datakonsult.se

David Faure Разработчик
Steffen Hansen

    steffen@klaralvdalens-datakonsult.se

Разработчик
Matthias Kalle Dalheimer Разработчик
Jesper Pedersen

    blackie@kde.org

Разработчик
Daniel Molkentin

    molkentin@kde.org

Разработчик
Иван Кашуков

    dolphin210@yandex.ru

перевод на русский
&GPLNotice;
2004-06-11
0.31

&kleopatra; - утилита, позволяющая управлять сертификатами X.509

KDE Kapp X509 LDAP gpg gpgsm

## Введение

&kleopatra; - утилита &kde;, позволяющая управлять сертификатами X.509 в контейнерах ключей &gpgsm; и получать сертификаты с серверов LDAP.

&kleopatra; можно запустить с помощью меню Сервис программы KMail и из командной строки. Исполняемый файл утилиты &kleopatra; называется ``kleopatra``.

Программа названа в честь Клеопатры, знаменитой египетской правительницы.

Такое название было принято благодаря связи с проектом Ägypten Projects (в немецком языке слова Египет и Клеопатра пишутся как Ägypten и Kleopatra).

## Основные функции

### Просмотр локального контейнера ключей

С помощью &kleopatra; пользователь может просматривать и изменять содержимое локальных контейнеров ключей. Контейнер ключей по своей сути напоминает связку ключей &gpg;, но их не следует отождествлять.

Главное окно включает в себя список ключей, панель меню, панель поиска (вверху) и строку состояния (внизу).

Каждый пункт списка ключей соответствует одному сертификату. Сертификаты различаются по так называемому &dn; субъекта. &dn; - сокращение от Distinguished Name (отличительное имя) - иерархический идентификатор, по сути похожий на путь в файловой системе. Считается, что он однозначно определяет сертификат.

Действительными (и, следовательно, допустимыми к использованию) считаются только те открытые ключи, которые были подписаны центром сертификации. Такие подписи называются сертификатами, но обычно термины сертификат и (открытый) ключ взаимозаменяемы, поэтому в этом руководстве (за исключением отдельно оговоренных случаев) эти термины различаться не будут. Название центра сертификации, выдавшего сертификат, указано в столбце DN владельца.

Сертификат центра, в свою очередь, должен быть подписан другим центром. Эта цепочка заканчивается на так называемых центрах сертификации верхнего уровня (корневых центрах), ключи которых подписаны самим центром - владельцем ключа. Корневые сертификаты проверяются вручную, путём сравнения реального отпечатка сертификата с указанным на web-сайте центра сертификации. Обычно проверку выполняет администратор или производитель продукта, использующего сертификат, но пользователь также может осуществить её (с помощью программы &gpgsm;).

Для того чтобы узнать, какие из сертификатов являются корневыми, можно сравнить &dn; субъекта и &dn; владельца либо просмотреть дерево ключей (см. ).

Для того чтобы просмотреть информацию о сертификате, щёлкните на нём дважды либо используйте функцию . При этом будет открыто окно, содержащее основные данные о сертификате, цепочку сертификатов (т. е. последовательность владельцев сертификатов вплоть до корневого) и другие сведения, которые сообщаются в сертификате.

Если контейнер был изменен вне &kleopatra; (например, с помощью программы &gpgsm;), вы можете обновить сведения с помощью функции .

Проверка подлинности ключа занимает некоторое время (при этом должен быть получен CRL), поэтому при создании списка ключей их подлинность не проверяется. Для этого можно использовать функцию , вариант . Она проверяет либо выбранные сертификаты, либо все, если не выбран ни один.

### Поиск и импорт сертификатов

Обычно получение сертификата требуется при проверке подписи электронного письма. При этом вам не понадобится связываться с автором письма, сертификат можно получить с сервера LDAP (&gpgsm; может выполнять это автоматически) или из файла. После получения ответа центра сертификации на ваш запрос вам придётся импортировать свой сертификат.

Для того чтобы начать поиск сертификатов в каталоге LDAP, в выпадающем меню панели поиска переключитесь на поиск во внешних сертификатах, в соответствующем поле введите текст, по которому будет осуществляться поиск (например, имя владельца сертификата) и нажмите Найти. Результаты отображаются в списке ключей под панелью поиска. Перечисленные сертификаты можно просматривать () и загружать () в локальный контейнер ключей. Загружать сертификаты можно с помощью окна просмотра сведений, нажав кнопку Импортировать в локальный контейнер.

Список серверов LDAP, по которым будет осуществляться поиск, можно изменить с помощью страницы Службы каталогов окна настройки &kleopatra;.

Если требуемый сертификат находится в файле, используйте функцию . Формат файла должен поддерживаться &gpgsm; (список поддерживаемых файлов есть в руководстве &gpgsm;).

Если вы не создали пару ключей с помощью &gpgsm;, вам следует импортировать открытый ключ (как и закрытый) из файла PKCS#12, полученного от центра сертификации. Запустите команду ``kleopatra &commandline-option-import-certificate; `файл``` либо используйте функцию &kleopatra;.

### Создание пар ключей

При выборе пункта меню запускается мастер запроса сертификата, который поможет вам создать запрос сертификата. С помощью последней страницы мастера созданный запрос можно послать в центр сертификации (Certification Authority, CA) либо сохранить в файле (например, на дискете, которую можно впоследствии передать в центр).

После того как вы закончили работу со страницей мастера, нажмите Далее, чтобы перейти к следующему этапу. Нажмите Назад, если вы хотите изменить уже указанные параметры. Нажмите Отмена, чтобы прервать процесс создания запроса.

Первая страница мастера позволяет ввести личные данные, используемые при создании сертификата. Доступны следующие поля:

- Имя - ваше имя;

- Расположение - город или страна, в которой вы проживаете;

- Организация - организация, которую вы представляете (например, компания, в которой вы работаете);

- Отдел - ваш отдел (например, "Вычислительный центр");

- Код страны - двухбуквенный код страны, в которой вы проживаете (например, "RU");

- Адрес эл.почты - ваш адрес электронной почты. Убедитесь, что вы ввели его правильно - сертификат будет использоваться только для указанного адреса.

С помощью следующей страницы можно выбрать, будет ли сертификат сохранён в файле или отправлен в центр сертификации. Вам понадобится указать соответственно имя файла или адрес электронной почты, на который будет отправлен запрос сертификата.

### Управление контейнерами ключей

С помощью &kleopatra; пользователь может не только просматривать и проверять, искать, импортировать и создавать сертификаты. Программа также предоставляет некоторые дополнительные возможности управления локальным контейнером ключей.

Среди них: удаление сертификатов из локального контейнера ключей () и ручное управление CRL (, , ).

## Справочник команд

### Меню Файл

&file-new-key-pair;

  Позволяет создать новую пару ключей (открытый и закрытый) и отправить открытый ключ в центр сертификации на подпись. После подписания сертификат отправляется вам либо сохраняется на сервере LDAP. Вы можете импортировать его с сервера и использовать для подписи и расшифровки почтовых сообщений.

  Эта последовательность действий называется децентрализованное создание ключей, так как все ключи создаются локально. &kleopatra; (как и &gpgsm;) не содержат функции централизованное создание ключей, но вы можете импортировать пары ключей, полученные от центра сертификации в формате PKCS#12 (пункт меню &file-import-certificates;).

&file-export-certificates;

  Позволяет экспортировать выбранные сертификаты в файл.

  С помощью этой функции можно экспортировать только открытые ключи. Используйте функцию &file-export-secret-key;, чтобы экспортировать пару ключей (открытый и закрытый ключ) полностью, но помните, что при этом секретность ключей может быть нарушена.

&file-export-secret-key;

  Позволяет экспортировать пару ключей в файл (PKCS#12).

  Эту функцию следует использовать только в случае крайней необходимости. При этом следует выбрать надёжное средство передачи ключей и способ удаления ключей без возможности восстановления как с исходного компьютера, как и с устройства, использованного при перемещении ключей.

&file-import-certificates;

  Позволяет импортировать сертификаты и/или закрытые ключи из файла в локальный контейнер ключей.

  Формат файла сертификатов должен поддерживаться &gpgsm;. Поддерживаемые форматы перечислены в руководстве &gpgsm;.

&file-import-crls;

  Позволяет импортировать CRL из файла вручную.

  Обычно обработка списков аннулированных сертификатов (Certificate Revocation Lists, CRL) производится программой автоматически, но при необходимости импорт CRL в локальный кэш CRL можно произвести вручную.

  Для импорта CRL требуется, чтобы утилита dirmngr находилась в каталоге, указанном в переменной `PATH`. Если функция импорта CRL недоступна, свяжитесь с системным администратором и попросите его установить dirmngr.

  Для просмотра локального кэша CRL выберите пункт меню &crls-dump-crl-cache;. При этом будет открыто окно, отображающее информацию о CRL, находящихся в кэше, и "отпечатки" (практически абсолютно уникальные идентификаторы) сертификатов CRL.

&file-quit;

  Выход из &kleopatra;.

### Меню Вид

&view-redisplay;

  Заново считывает информацию о выбранных сертификатах либо обновляет весь список.

  Если какие-либо сертификаты выделены, то обновлена будет только связанная с ними информация.

  Если в данный момент в окне отображается результат запроса (удалённого либо локального), то этот запрос будет повторён, и информация обновлена.

  Иначе программа заново считает содержимое локального контейнера ключей и отобразит обновлённые данные.

  Используйте эту функцию, если контейнер ключей был изменён вне &kleopatra; (например, с помощью программы &gpgsm;).

&view-stop-operation;

  Останавливает (отменяет) все операции, выполняющиеся в данный момент, (например, загрузка файлов или поиск).

  При отмене удалённого поиска выполнение &kleopatra; может быть приостановлено на несколько секунд (в зависимости от сервера), в течение которых действие завершается. Такое поведение абсолютно нормально.

&view-certificate-details;

  Отображает сведения о выбранном сертификате.

  Это же происходит при двойном щелчке на требуемом сертификате в списке.

&view-hierarchical-key-list;

  Позволяет перейти от просмотра ключей в виде дерева к обычному просмотру и обратно.

  При иерархическом просмотре сертификаты упорядочены по владельцу/получателю. При этом проще выяснить, к какой цепочке принадлежит сертификат, но труднее найти требуемый сертификат (для этого, конечно, можно использовать панель поиска).

  В режиме обычного просмотра сертификаты упорядочены по алфавиту. Проще найти требуемый сертификат, труднее выяснить, какой корневой сертификат ему соответствует.

&view-expand-all;

  (Функция доступна только в режиме .)

  Разворачивает все ветви дерева сертификатов, т. е. делает все сертификаты доступными.

  Этот режим используется при просмотре иерархического списка ключей по умолчанию.

  Разумеется, пользователь может самостоятельно раскрывать и сворачивать пункты списка.

&view-collapse-all;

  (Функция доступна только в режиме .)

  Сворачивает все ветви дерева сертификатов, т. е. отображаются только корневые сертификаты.

  Разумеется, пользователь может самостоятельно раскрывать и сворачивать пункты списка.

### Меню Сертификаты

&certificates-validate;

  Позволяет проверить, действительны ли выбранные (или все) сертификаты.

  Функция похожа на с проверкой (выбранных) сертификатов. Проверка означает получение всех связанных CRL и проверку цепочки сертификатов. Недействительные и устаревшие ключи помечаются в соответствии с параметрами, указанными на странице Внешний вид окна настройки &kleopatra;.

  Программа полагается на сведения, указанные в признанных действительными ключах, но в любое время ключ может быть аннулирован, поэтому каждая проверка отображает только текущее состояние локальной связки ключей. По этой причине программа осуществляет проверку при каждом использовании ключей (например, для подписи, проверки подписи, шифрования или дешифровки).

&certificates-refresh-crls;

  Загружает текущие CRL для выбранных ключей, даже если для использования ключа их загрузка не требуется.

  Функция работает только с сертификатами, для которых определена точка распространения CRL (CRL distribution point). Сертификаты, проверка для которых должна осуществляться через OCSP, не обновляются (в зависимости от используемого движка).

  Возможный случай использования функции: пользователю известно, что ключ был аннулирован, и требуется, чтобы программа отразила это немедленно, а не при следующем автоматическом обновлении CRL.

  Постоянное использование этой возможности сильно загружает используемый канал связи, так как CRL больших организаций могут оказаться неожиданно большими (несколько мегабайт - вполне вероятный случай).

  Используйте её с осторожностью.

&certificates-delete;

  Удаляет выбранные сертификаты из локальной связки ключей.

  С помощью этой функции можно удалять из локального контейнера ключей неиспользуемые ключи. Однако, поскольку сертификаты обычно прилагаются к подписанным сообщениям электронной почты, то при проверке подлинности письма только что удалённый сертификат может вновь появиться в локальном контейнере. Поэтому рекомендуется не использовать эту функцию без крайней необходимости. Если вы чувствуете, что запутались в ключах, используйте панель поиска либо функцию . Они помогут вам управлять большим количеством сертификатов.

&certificates-download;

  Загружает выбранные сертификаты с сервера LDAP в локальный контейнер ключей.

### Меню CRLs

&crls-clear-crl-cache;

  Очищает кэш CRL программы &gpgsm;.

  Скорее всего, вам эта функция никогда не потребуется. Для того чтобы обновить кэш CRL, выберите все сертификаты и щёлкните на .

&crls-dump-crl-cache;

  Отображает содержимое кэша CRL программы &gpgsm; с подробной информацией.

### Меню Сервис

&tools-gnupg-log-viewer;

  Запускает &kwatchgnupg;.

### Меню Настройка

&settings-show-statusbar;

  Позволяет скрыть/отобразить строку состояния.

&settings-configure-shortcuts;

  Открывает стандартное окно настройки комбинаций клавиш &kde;. В нём вы можете создавать и изменять комбинации клавиш, связанные с пунктами меню.

&settings-configure-kleopatra;

  Открывает окно настройки &kleopatra;.

  Дополнительная информация содержится в разделе .

&settings-configure-gpgme-backend;

  Открывает окно, с помощью которого вы можете настроить &gpgsm; и прочие модули, используемые программой.

  При каждом создании окна используются данные, полученные от утилиты &gpgconf;, поэтому при обновлении модулей оно может изменяться.

### Меню Справка

Меню Справка - стандартное меню справки &kde;.

&help.menu.documentation;

## Параметры командной строки

Ниже перечислены параметры, присущие только &kleopatra;. Для того чтобы получить информацию по всем параметрам, запустите команду ``kleopatra `--help``` (действует для любого приложения &kde;).

&commandline-option-external;

  Если параметр указан, то &commandline-option-query; будет применён не к локальному контейнеру ключей, а к удалённому источнику.

&commandline-option-query;

  В окне &kleopatra; будут перечислены не все сертификаты, а только соответствующие указанному запросу.

&commandline-option-import-certificate;

  Позволяет определить файл или URL, из которого будут импортированы сертификаты (или закрытые ключи).

  Эквивалентен функции .

## Настройка &kleopatra;

Для того чтобы вызвать окно настройки &kleopatra;, выберите .

Ниже описаны все страницы окна.

### Настройка служб каталогов

С помощью этой страницы можно указать настройки серверов LDAP, в которых будет осуществляться поиск сертификатов. Можно настроить порядок поиска и параметры работы программы с серверами LDAP (для этого выберите ).

Нажмите Добавить службу..., чтобы добавить в список новый сервер. В появившемся окне укажите Сервер, Порт (значение по умолчанию - стандартный порт LDAP), Корневой DN (иногда используется при поиске), Имя пользователя и Пароль (используются только в том случае, если сервер требует аутентификации). Нажмите ОК, чтобы добавить сервер в список, Отмена - чтобы закрыть окно, не внося изменений.

Для того чтобы удалить сервер из списка, выберите его и нажмите Удалить службу.

Для того чтобы изменить очерёдность поиска, выберите сервер и перемещайте его с помощью кнопок справа от списка.

Для того чтобы установить время ожидания LDAP (время, в течение которого программа будет ожидать ответа сервера), используйте поле Время ожидания LDAP.

Если база данных какого-либо сервера слишком большая, и количество результатов поиска, например, по строке `Ivanov` превышает максимальное количество записей в результате запроса (при этом выводится соответствующее сообщение), то может потребоваться увеличить этот предел.

Этот параметр не может изменить ограничения, определяемые настройками самого сервера.

### Настройка внешнего вида

&kleopatra; позволяет изменить внешний вид (действительных) ключей в списке. Изменить можно цвет и шрифт текста, а также цвет фона.

Каждой категории ключей (слева) ставится в соответствие набор цветов и шрифт, которые используются для отображения ключей этой категории. В списке категорий можно просмотреть результат указанных настроек. Категории определяются администратором или другим пользователем с достаточными правами, см. ().

Для того чтобы изменить цвет текста, выберите категорию в списке и нажмите Установить цвет текста.... Будет открыто стандартное окно выбора цвета &kde;, с помощью которого можно указать цвет.

Аналогичным образом можно изменить цвет фона (кнопка Установить цвет фона...).

Есть два способа изменения шрифта:

1. изменить стандартный шрифт, используемый во всех списках окон &kde;

2. указать шрифт самостоятельно.

В первом случае будет изменён стиль, используемый для всех окон &kde;, во втором вы можете более точно настроить шрифт. Выбор за вами.

Для того чтобы изменить стандартный шрифт, используйте переключатели Курсив, Полужирный и Зачёркнутый. Внесённые изменения немедленно применяются к шрифтам списка категорий.

Для того чтобы настроить шрифт самостоятельно, нажмите кнопку Установить шрифт... Будет открыто стандартное окно выбора шрифта &kde;, в котором вы сможете указать требуемый шрифт. Флажки, используемые для изменения стандартного шрифта, здесь также имеются.

Если вы хотите использовать стандартный шрифт, нажмите кнопку Внешний вид по умолчанию.

### Настройка порядка отображения атрибутов DN

&dn; упорядочены в соответствии с их иерархией, однако порядок отдельных компонентов (так называемых относительных &dn; (relative &dn;, RDN) или атрибутов &dn;) не определён. Порядок их отображения зависит от личных предпочтений или от стандарта, принятого фирмой, поэтому его можно настроить с помощью &kleopatra;.

Эти настройки применяются не только к &kleopatra;, но и ко всем приложениям, использующим &kleopatra;. На момент написания документации это KMail, KAddressBook и собственно &kleopatra;.

Страница настройки состоит из двух списков. В одном содержатся атрибуты (Доступные атрибуты), в другом отображается Текущий порядок атрибутов.

Пункты обоих списков включают в себя как краткое название атрибута (например, CN), так и полное (Имя).

Список Доступные атрибуты упорядочен по алфавиту, а список Текущий порядок атрибутов отражает установленный порядок &dn;.

Отображаются только атрибуты, входящие в список Текущий порядок атрибутов. Остальные по умолчанию скрыты.

Однако, если в текущий список входит пункт _X_ (Все остальные), то на месте _X_ будут отображаться все атрибуты, не входящие в список (вне зависимости от того, известны они программе или нет).

Приведём простой пример:

Задан &dn;

> O=KDE, C=US, CN=Dave Devel, X-BAR=foo, OU=Kleopatra, X-FOO=bar.

Если используется порядок атрибутов по умолчанию (CN, L, _X_, OU, O, C), то &dn; будет таков:

> CN=Dave Devel, X-BAR=foo, X-FOO=bar, OU=Kleopatra, O=KDE, C=US,

порядку CN, L, OU, O, C соответствует

> CN=Dave Devel, OU=Kleopatra, O=KDE, C=US

Для того чтобы добавить атрибут в список текущего порядка, выберите его в списке Доступные атрибуты и нажмите кнопку Добавить в текущий порядок атрибутов.

Для того чтобы удалить атрибут из списка текущего порядка, выберите его в списке Текущий порядок атрибутов и нажмите кнопку Удалить из текущего порядка атрибутов.

Для того чтобы переместить атрибут в начало (конец) списка Текущий порядок атрибутов, выберите его в этом списке и нажмите кнопку Переместить наверх (Переместить вниз).

Для того чтобы переместить атрибут вверх (вниз) на один пункт в списке Текущий порядок атрибутов, выберите его в этом списке и нажмите кнопку Переместить выше (Переместить ниже).

## Руководство администратора

В Руководстве администратора описаны настройки &kleopatra;, определяемые файлами конфигурации.

Предполагается, что читатель знаком с настройкой приложений &kde;, включая структуру, расположение файлов настроек, наследование и перекрывание настроек, а также с технологией KIOSK.

### Настройка мастера создания сертификатов

&kleopatra; позволяет указать, какие параметры при создании сертификатов сможет определять пользователь.

Создайте группу настроек `CertificateCreationWizard` в общесистемном файле `kleopatrarc`. Если вы хотите настроить порядок отображения или доступность атрибутов, создайте ключ `DNAttributeOrder`. В его значение должны входить один или несколько пунктов из следующего списка: `CN,SN,GN,L,T,OU,O,PC,C,SP,DC,BC,EMAIL`. Вы можете указать начальное значение параметров в виде атрибут=значение. Если вы хотите, чтобы какой-либо атрибут был обязательным, добавьте восклицательный знак (например, `CN!,L,OU,O!,C!,EMAIL!` - конфигурация по умолчанию).

Модификатор режима KIOSK - `$e` - позволяет получать значения из переменных окружения, от сценариев и программ. Если вы хотите сделать значение поля неизменяемым, используйте модификатор `$i`. Установите значение false для переменной `ShowSetWhoAmI`, чтобы отключить кнопку Вставить мой адрес.

Технология &kde; KIOSK не позволяет пользователю отключить флаг `$i`. Такое поведение не является ошибкой в программе. Флаги `$i` и `$e` можно использовать во всех ключах приложений &kde;.

Ниже показаны примеры настроек:

    [CertificateCreationWizard]
    ;Запретить копирование личных данных из адресной книги, не разрешать пользователям отменять этот запрет
    ShowSetWhoAmI[$i]=false

    ;установить имя пользователя в соответствии с переменной $USER
    CN[$e]=$USER

    ;установить название компании "My Company", запретить изменение
    O[$i]=My Company

    ;определить название отдела с помощью сценария
    OU[$ei]=$(lookup_dept_from_ip)

    ;установить страну RU, позволить пользователям изменять значение
    C=RU

### Создание и редактирование категорий ключей

&kleopatra; позволяет пользователям изменять внешний вид ключей в списке. Пользовательские настройки применяются к отдельным категориям ключей. В этом разделе описан процесс изменения доступных категорий и добавления новых.

При определении категории ключа &kleopatra; последовательно применяет к ключу фильтры, описанные в файле `libkleopatrarc`. Первый фильтр, которому соответствует ключ, определяет его категорию.

Каждый фильтр ключей определяется группой настроек под названием`Key Filter #n`, где n - номер (нумерация начинается с нуля).

Единственный обязательный ключ группы `Key Filter #n` - `Name`. Он определяет имя категории, отображаемое в окне настройки.

выводит список всех параметров, определяющих настройки отображения ключей этой категории (т. е. эти параметры можно изменить с помощью окна настройки), перечисляет критерии, по которым фильтр отбрасывает ключи.

Настройки отображения ключей

Настройка | Тип | Описание
--- | --- | ---
`background-color` | цвет | Цвет фона. Если не указан, используется цвет фона списков по умолчанию.
`foreground-color` | цвет | Цвет текста. Если не указан, используется цвет текста списков по умолчанию.
`font` | шрифт | Пользовательский шрифт. Размер шрифта определяется настройками для всех списков, используются атрибуты шрифта (описаны ниже).
`font-bold` | булевский | Если установлено значение `true`, а значение параметра `font` не указано, будет использоваться шрифт списков по умолчанию с добавлением полужирности (если возможно). Если значение параметра `font` указано, переменная игнорируется.
`font-italic` | булевский | Аналогично `font-bold`; определяет, будет ли использоваться курсив.
`font-strikeout` | булевский | Если установлено значение `true`, то через строку, написанную этим шрифтом, будет проведена горизонтальная линия. Применяется, даже если значение параметра `font` указано.
`icon` | текст | Название значка, отображаемого в первом столбце. Пока не используется.

Настройки критериев фильтров

Настройка | Тип | Если указано, то ключ считается соответствующим фильтру, в том случае если...
--- | --- | ---
`is-revoked` | булевский | ключ был аннулирован.
`is-expired` | булевский | ключ устарел.
`is-disabled` | булевский | использование ключа было отменено пользователем (ключ помечен как неиспользуемый). Игнорируется для ключей S/MIME.
`is-root-certificate` | булевский | ключ является корневым сертификатом. Игнорируется для ключей OpenPGP.
`can-encrypt` | булевский | ключ можно использовать для шифрования.
`can-sign` | булевский | ключ можно использовать для подписи.
`can-certify` | булевский | ключ можно использовать для подписи (сертификации) других ключей.
`can-authenticate` | булевский | ключ можно использовать для аутентификации (например, сертификат клиента TLS).
`has-secret-key` | булевский | для этой пары ключей доступен закрытый ключ.
`is-openpgp-key` | булевский | ключ является ключом OpenPGP (`true`) или S/MIME (`false`).
`was-validated` | булевский | ключ был признан действительным (см. ).
`prefix-ownertrust` | проверка владельца Возможны следующие результаты проверки владельца: `неизвестный`, `не определён`, `бессрочный`, `крайний`, `полностью`, `абсолютное`. Подробное объяснение содержится в руководствах &gpg; и &gpgsm;. | Результат проверки владельца ключа соответствует указанному, (prefix = `is`), не содержит указанного (prefix = `is-not`), не меньше указанного (prefix = `is-at-least`) или не больше указанного (prefix = `is-at-most`), то считается, что ключу можно доверять. Если группа включает более одного параметра `prefix-ownertrust` (с различными значениями prefix), то поведение не определено.
`prefix-validity` | проверка владельца | Аналогично `prefix-ownertrust`, но используется для проверки действительности ключа.

Некоторые критерии, например, `is-revoked` и `is-expired`, применяются только к действительным ключам, так как по умолчанию соответствующие проверки (был ли аннулирован и устарел ли ключ) проводятся только для действительных ключей. Однако эти дополнительные проверки можно отменить.

Обычно проверки по неопределённым критериям (значение параметра не установлено) не проводятся. Для того чтобы соответствовать всему фильтру, ключ должен соответствовать каждому критерию.

Примеры фильтров ключей

Следующий фильтр отбирает все устаревшие, но не аннулированные корневые сертификаты:

    [Key Filter #n]
    Name=expired, but not revoked
    was-validated=true
    is-expired=true
    is-revoked=false
    is-root-certificate=true

Следующий фильтр отбирает все ключи OpenPGP, использование которых отменено владельцем (пока не поддерживаются &kleopatra;) с уровнем доверия владельцу не меньше, чем крайний.

    [Key Filter #n]
    Name=disabled OpenPGP keys with marginal or better ownertrust
    is-openpgp=true
    is-disabled=true
    is-at-least-ownertrust=marginal

## Благодарности и лицензирование

Авторские права на программу &kleopatra; принадлежат 2002 Steffen Hansen, Matthias Kalle Dalheimer and Jesper Pedersen., copyright 2004 Daniel Molkentin, copyright 2004 Klarälvdalens Datakonsult AB

Авторские права на документацию принадлежат 2002 Steffen Hansen, copyright 2004 Daniel Molkentin, copyright 2004 Klarälvdalens Datakonsult AB

В разработке участвовали:

- Marc Mutz mutz@kde.org

- David Faure faure@kde.org

- Steffen Hansen hansen@kde.org

- Matthias Kalle Dalheimer kalle@kde.org

- Jesper Pedersen blackie@kde.org

- Daniel Molkentin molkentin@kde.org

&underGPL; &underFDL;
&documentation.index;