在Fedora工作站上使用PGP加密邮件，本质上是让邮件客户端调用GnuPG完成非对称加密操作。发件人使用收件人的公钥加密邮件正文，只有持有对应私钥的收件人才能解密。这个过程不依赖邮件服务商，即使邮件在服务器上被截获，攻击者也无法阅读内容。Fedora的软件仓库默认提供完整的GnuPG套件，而且Thunderbird从78版本起内置了OpenPGP支持，Evolution也原生集成GnuPG，因此配置成本已经大幅降低。接下来从安装和密钥生成开始，逐步完成整个加密链路的搭建。
安装GnuPG并生成密钥对
Fedora通常预装了GnuPG，但如果系统是最小化安装或者想升级到最新版本，可以先执行安装命令。打开终端，使用dnf包管理器安装gnupg2。这个包包含gpg命令行工具以及相关的加密库，是后续所有操作的基础。安装过程需要管理员权限，因为写入的是系统级目录。
sudo dnf install gnupg2
安装完成后，使用gpg --version确认版本信息。然后生成密钥对，推荐使用--full-generate-key选项进入交互式向导。在选择密钥类型时，可以保持默认的RSA and RSA，密钥长度建议选择4096位以获得更高的安全强度。过期时间可以根据实际需求设置，比如两年后需要延期或轮换。接下来输入用户标识，包括姓名和邮箱地址，这个邮箱必须与邮件客户端中配置的地址一致，否则签名验证可能失败。
gpg --full-generate-key
向导会要求设置一个私钥保护口令。这个口令至关重要，它是保护私钥文件不被未授权使用的最后一道防线。如果口令丢失，私钥无法解锁，也就无法解密历史邮件或签署新邮件。因此需要选择一个强度足够但自己能记住的口令，必要时可以通过密码管理器保存。密钥生成过程需要一定时间，因为系统要生成大素数并完成随机数采集。完成后可以使用gpg --list-keys查看公钥指纹和用户标识。
在Thunderbird中配置PGP加密与签名
Thunderbird是Fedora上常用的邮件客户端，从78版本开始已经不再依赖Enigmail插件，而是直接内置OpenPGP功能。首先需要把之前生成的密钥导入Thunderbird，或者直接在Thunderbird内生成新密钥。推荐使用已有密钥，这样可以保持命令行与图形界面使用同一套密钥体系。在Thunderbird的账户设置中，找到端到端加密栏目，点击添加密钥，选择导入现有公钥或私钥。导入私钥时需要输入之前设置的口令。
启用端到端加密后，撰写邮件时工具栏会出现加密和签名按钮。加密操作会使用收件人的公钥，因此必须在本地密钥环中拥有收件人的公钥。如果之前没有导入，Thunderbird会给出提示，可以从公钥服务器搜索或手动导入。签名则使用发件人自己的私钥，收件人收到邮件后可以通过发件人的公钥验证签名，确认邮件在传输过程中未被篡改。配置完成后，建议先给自己发送一封测试邮件，分别测试仅签名、仅加密以及加密加签名三种模式，确认整个流程正常。
# 导出自己的公钥以便发送给通信对象 gpg --armor --export 你的邮箱地址@ipipp.com > 我的公钥.asc # 导入别人的公钥 gpg --import 对方的公钥.asc # 列出已导入的公钥指纹 gpg --list-keys --fingerprint
如果使用Evolution客户端，配置方式略有不同。Evolution在账户设置中直接集成GnuPG支持，只需要在安全选项中指定使用哪个密钥作为默认签名密钥，并勾选自动加密选项。Evolution的优势是与GNOME桌面深度整合，密钥管理界面相对简洁。但核心原理与Thunderbird一致，都是通过GnuPG完成底层加密操作。
密钥管理与日常使用安全实践
PGP的安全性高度依赖私钥的保护。私钥文件通常位于~/.gnupg/目录下，权限应设置为仅属主可读写。不要将私钥复制到不可信设备，也不要在公共计算机上导入私钥。如果需要在多台设备上使用同一密钥，最安全的方式是在每台设备上生成不同的子密钥，或者使用硬件安全模块存储私钥。Fedora用户可以考虑使用gpg-agent管理口令缓存，避免频繁输入口令的同时也降低口令暴露风险。
公钥分发也是PGP使用中的重要环节。最简单的方式是将公钥上传到公钥服务器，比如keys.openpgp.org或keyserver.ubuntu.com。上传后，其他人可以通过邮箱地址搜索到你的公钥。但是公钥服务器无法验证公钥的真实性，任何人都可以上传署名为他人邮箱的公钥。因此在实际通信中，应当通过其他可信渠道核对公钥指纹。指纹是一串40位的十六进制字符，可以通过gpg --fingerprint 邮箱地址查看。双方通过电话或线下方式核对指纹后，再对公钥进行签名，以建立信任网络。
# 查看某个公钥的完整指纹 gpg --fingerprint 对方邮箱地址@ipipp.com # 将公钥上传到公钥服务器 gpg --keyserver keys.openpgp.org --send-keys 你的密钥ID # 从公钥服务器搜索并导入公钥 gpg --keyserver keys.openpgp.org --search-keys 对方邮箱地址@ipipp.com
日常使用中还需要注意邮件客户端的缓存策略。Thunderbird会缓存解密后的邮件内容，如果设备本身缺乏全盘加密，缓存文件可能成为泄露途径。Fedora安装时默认提供的LUKS全盘加密应当保持开启。另外，如果邮件正文包含HTML格式，应谨慎处理外部资源加载，因为远程图片请求可能泄露阅读状态和IP地址。PGP加密的是邮件正文内容，但邮件头部信息如发件人、收件人、主题等仍然是明文，无法通过PGP隐藏。对于需要保护元数据的场景，还需要结合其他匿名通信工具。
最后，定期更新GnuPG和邮件客户端是防止已知漏洞被利用的有效手段。Fedora的dnf更新机制可以自动完成软件升级。如果发现某个密钥不再使用或者怀疑私钥泄露，应当立即生成撤销证书并发布到公钥服务器。撤销证书通常在生成密钥时创建，可以单独保存到离线介质中。一旦发生泄露，使用撤销证书声明该公钥不再有效，其他用户同步公钥服务器后即可知晓。通过以上措施，Fedora用户可以建立起一套成熟可靠的PGP邮件加密体系。