{"id":4436,"date":"2026-10-26T07:00:00","date_gmt":"2026-10-26T06:00:00","guid":{"rendered":"https:\/\/www.my-it-brain.de\/wordpress\/?p=4436"},"modified":"2026-10-25T20:16:27","modified_gmt":"2026-10-25T19:16:27","slug":"eine-openpgp-smartcard-ein-thinkpad-gnupg-fedora-und-ich","status":"publish","type":"post","link":"https:\/\/www.my-it-brain.de\/wordpress\/eine-openpgp-smartcard-ein-thinkpad-gnupg-fedora-und-ich\/","title":{"rendered":"Eine OpenPGP-Smartcard, ein ThinkPad, GnuPG, Fedora und ich"},"content":{"rendered":"\n

Mit diesem Beitrag teile ich meine Erfahrungen mit der Inbetriebnahme einer OpenPGP<\/a>–Smartcard<\/a> und des Smartcard-Leser in meinem ThinkPad T14s Gen1. Ihr erfahrt, was alles zu tun war und was ich davon halte. Aber beginnen wir doch ganz am Anfang.<\/p>\n\n\n\n

Motivation<\/h2>\n\n\n\n

Es war einmal die FrOSCon 2026<\/a>. Dort sah ich am Merchandise-Stand im Foyer diese schicken OpenPGP-Smartcards und einige Karten-Lese\/Schreib-Ger\u00e4te ausliegen.<\/p>\n\n\n\n

Ich sprach meine Bekannten auf ihre Erfahrungen mit diesen Karten und GnuPG an, welche \u00fcberwiegend mit Kopfsch\u00fctteln und St\u00f6hnen reagierten. Offenbar sind sie nicht so leicht f\u00fcr etwas zu interessieren wie ich. Doch schien mir das Thema f\u00fcr den Moment weniger reizvoll und ich habe das Thema erstmal vertagt.<\/p>\n\n\n\n

Das Thema lie\u00df mich jedoch nicht los und so habe ich auf der Zugfahrt nach Hause nochmal nachgelesen, was es mit GnuPG<\/a> und OpenPGP<\/a> auf sich hat. Denn dass ich mich zuletzt damit besch\u00e4ftigt hatte, war schon eine Weile her.<\/p>\n\n\n\n

Mein ThinkPad T14s Gen1 besitzt einen Smartcard-Leser, den ich bisher noch nie verwendet hatte. Dieser lachte mich geradezu an und vielleicht half noch der ein oder andere Satz von Christian und ich bestellte mir die OpenPGP Smart Card V3.4 + MiFare DESFire<\/a> im FLOSS-Shop<\/a>.<\/p>\n\n\n\n

Inbetriebnahme von Kartenleser und Erkennen der Karte<\/h2>\n\n\n\n
\n

Das kann doch nicht so schwer sein. Das ist doch schnell erledigt.<\/p>\nBer\u00fchmte letzte Worte unbekannter Herkunft.<\/cite><\/blockquote>\n\n\n\n

~]$ gpg --card-status\ngpg: selecting card failed: No such device\ngpg: OpenPGP card not available: No such device<\/code><\/pre>\n\n\n\n
Vorstehender Code-Block zeigt, dass es nicht auf Anhieb klappte. Dann halt erstmal Fehlersuche bzw. die Suche nach Dokumentation und Anleitungen.<\/p>\n\n\n\n
Der erste Fehler war schnell gefunden. Der Smartcard-Leser war im UEFI noch deaktiviert. Ich habe die Angewohnheit, alle Ger\u00e4te, die ich nicht regelm\u00e4\u00dfig verwende, dort abzuschalten. Nachdem der Kartenleser aktiviert war, wurde er auch von Linux erkannt \u2013 von gpg<\/code> jedoch nicht.<\/p>\n\n\n\n
Auf der Produktseite<\/a> wird folgende URL zu Anleitungen und Erkl\u00e4rungen zu GnuPG, Kartenlesern mit und ohne Pinpad und zur Einrichtung und Verwendung der OpenPGP-Karte verlinkt: https:\/\/wiki.datenkollektiv.net\/public\/gnupg\/gnupg-card-howto<\/a>. Leider lieferte dieser Link einen HTTP-502-Fehler<\/a> zur\u00fcck, als ich die Seite gebraucht h\u00e4tte. Also habe ich das Sprachmodell meiner Wahl um Rat gebeten, welches mir geraten hat, doch erstmal die erforderlichen Treiber und Tools zur Nutzung des Kartenlesers zu installieren. Na gut:<\/p>\n\n\n\n
~]$ sudo dnf install pcsc-lite pcsc-lite-ccid pcsc-tools\n~]$ sudo systemctl enable --now pcscd.service<\/code><\/pre>\n\n\n\n
Leider war es damit noch nicht getan und das Sprachmodell fing langsam das Halluzinieren an. Also bediente ich mich der Suchmaschine meines geringsten Misstrauens und recherchierte auf althergebrachte Weise. Ich war schon ziemlich genervt, als ich endlich einen passenden Hinweis in der Nitrokey-Dokumentation<\/a> fand. Nachdem ich diese durchgearbeitet hatte, war ich einen gro\u00dfen Schritt weiter:<\/p>\n\n\n\n
~]$ gpg --card-status\nReader ...........: Alcor Micro AU9540 00 00\nApplication ID ...: D27600012401030400050000DA260000\nApplication type .: OpenPGP\nVersion ..........: 3.4\nManufacturer .....: ZeitControl\nSerial number ....: 0000DA26\nName of cardholder: [not set]\nLanguage prefs ...: de\nSalutation .......: \nURL of public key : [not set]\nLogin data .......: [not set]\nSignature PIN ....: forced\nKey attributes ...: rsa2048 rsa2048 rsa2048\nMax. PIN lengths .: 64 64 64\nPIN retry counter : 3 0 3\nSignature counter : 0\nKDF setting ......: off\nSignature key ....: [none]\nEncryption key....: [none]\nAuthentication key: [none]\nGeneral key info..: [none]<\/code><\/pre>\n\n\n\n
Die Karte wird von gpg<\/code> erkannt, ist wie erwartet noch leer und kann nun endlich benutzt werden. Die Karte ist mit einer PIN und einer Admin-PIN versehen, welche bei bestimmten Operationen bzw. zum Entsperren der Karte abgefragt werden. Beide PINs sind auf individuelle PINs zu \u00e4ndern. Sonst ist das Ganze sinnlos (siehe --change-pin<\/code>).<\/p>\n\n\n\n
GPG-Schl\u00fcssel auf der Karte generieren<\/h2>\n\n\n\n
Ab hier hilft die Manpage gpg(1)<\/code> weiter. Der folgende Code-Block zeigt die Abfolge von Befehlen zur Generierung von GPG-Schl\u00fcsseln auf der Karte:<\/p>\n\n\n\n
~]$ gpg --edit-card\n\nReader ...........: Alcor Micro AU9540 00 00\nApplication ID ...: D27600012401030400050000DA260000\nApplication type .: OpenPGP\nVersion ..........: 3.4\nManufacturer .....: ZeitControl\nSerial number ....: 0000DA26\nName of cardholder: [not set]\nLanguage prefs ...: de\nSalutation .......: \nURL of public key : [not set]\nLogin data .......: [not set]\nSignature PIN ....: forced\nKey attributes ...: rsa2048 rsa2048 rsa2048\nMax. PIN lengths .: 64 64 64\nPIN retry counter : 3 0 3\nSignature counter : 0\nKDF setting ......: off\nSignature key ....: [none]\nEncryption key....: [none]\nAuthentication key: [none]\nGeneral key info..: [none]\n\ngpg\/card> admin\nAdmin commands are allowed\n\ngpg\/card> generate\nMake off-card backup of encryption key? (Y\/n) Y\n\nPlease note that the factory settings of the PINs are\n   PIN = '123456'     Admin PIN = '12345678'\nYou should change them using the command --change-pin\n\nPlease specify how long the key should be valid.\n         0 = key does not expire\n      <n>  = key expires in n days\n      <n>w = key expires in n weeks\n      <n>m = key expires in n months\n      <n>y = key expires in n years\nKey is valid for? (0) \nKey does not expire at all\nIs this correct? (y\/N) y\n\nGnuPG needs to construct a user ID to identify your key.\n\nReal name: Bob\nEmail address: bob@example.com\nComment: der Baumeister\nYou selected this USER-ID:\n    \"Bob (der Baumeister) <bob@example.com>\"\n\nChange (N)ame, (C)omment, (E)mail or (O)kay\/(Q)uit? O\nWe need to generate a lot of random bytes. It is a good idea to perform\nsome other action (type on the keyboard, move the mouse, utilize the\ndisks) during the prime generation; this gives the random number\ngenerator a better chance to gain enough entropy.\nrogpg: Note: backup of card key saved to '\/home\/jkastning\/.gnupg\/sk_9C88B267003429CB.gpg'\ngpg: revocation certificate stored as '\/home\/jkastning\/.gnupg\/openpgp-revocs.d\/2B3FFC727504AFFAEF0C50C080B662D727FEFF5F.rev'\npublic and secret key created and signed.\n\npub   rsa2048 2026-10-23 [SC]\n      2B3FFC727504AFFAEF0C50C080B662D727FEFF5F\nuid                      Bob (der Baumeister) <bob@example.com>\nsub   rsa2048 2026-10-23 [A]\nsub   rsa2048 2026-10-23 [E]\n\n\ngpg\/card> list\n\nReader ...........: Alcor Micro AU9540 00 00\nApplication ID ...: D27600012401030400050000DA260000\nApplication type .: OpenPGP\nVersion ..........: 3.4\nManufacturer .....: ZeitControl\nSerial number ....: 0000DA26\nName of cardholder: [not set]\nLanguage prefs ...: de\nSalutation .......: \nURL of public key : [not set]\nLogin data .......: [not set]\nSignature PIN ....: forced\nKey attributes ...: rsa2048 rsa2048 rsa2048\nMax. PIN lengths .: 64 64 64\nPIN retry counter : 3 0 3\nSignature counter : 4\nKDF setting ......: off\nSignature key ....: 2B3F FC72 7504 AFFA EF0C  50C0 80B6 62D7 27FE FF5F\n      created ....: 2026-10-23 18:42:38\nEncryption key....: 35CD 7AA9 CADB CA74 6103  C261 9C88 B267 0034 29CB\n      created ....: 2026-10-23 18:42:38\nAuthentication key: 04C5 D0D4 E501 B90A 51BF  85FE B6C6 967B EFF5 5EF9\n      created ....: 2026-10-23 18:42:38\nGeneral key info..: \npub  rsa2048\/80B662D727FEFF5F 2026-10-23 Bob (der Baumeister) <bob@example.com>\nsec>  rsa2048\/80B662D727FEFF5F  created: 2026-10-23  expires: never     \n                                card-no: 0005 0000DA26\nssb>  rsa2048\/B6C6967BEFF55EF9  created: 2026-10-23  expires: never     \n                                card-no: 0005 0000DA26\nssb>  rsa2048\/9C88B267003429CB  created: 2026-10-23  expires: never     \n                                card-no: 0005 0000DA26\n\ngpg\/card><\/code><\/pre>\n\n\n\n
Fertig. Auf der Karte befinden sich nun je ein Schl\u00fcsselpaar zum Signieren, Ver- und Entschl\u00fcsseln und f\u00fcr die Authentisierung (z.B. an einem SSH-Dienst). Ein Backup und ein Widerrufszertifikat wurden in folgenden Pfaden gespeichert:<\/p>\n\n\n\n