วาง ‘Pretty Good’ ใน PGP

Pretty Good Privacy (PGP) เป็นโปรแกรมเข้ารหัสที่เชื่อถือได้และผ่านการทดสอบ สามารถใช้เข้ารหัสข้อความไฟล์อีเมลหรือดิสก์ทั้งหมด.

มันถูกสร้างขึ้นในปี 1991 โดย Phil Zimmermann และเปิดตัวเป็นมาตรฐานเปิดที่เรียกว่า OpenPGP ในปี 1997 นอกจากนี้ยังมีการดำเนินการของ PGP ภายใต้ลิขสิทธิ์ GPL ที่เรียกว่า GNU Privacy Guard (GPG) ตั้งแต่ปี 1999.

Zimmermann เป็นนักเคลื่อนไหวต่อต้านอาวุธนิวเคลียร์ที่รู้จักกันดีในยุค 80 และ 90 ที่ต้องการหาวิธีจัดเก็บไฟล์และข้อมูลนอกการเข้าถึงของรัฐบาล Zimmerman สร้าง PGP และปล่อยซอฟต์แวร์ฟรีสำหรับทุกคนและรวมซอร์สโค้ดในทุกรุ่น.

ในช่วงต้นทศวรรษ 90 ซอฟต์แวร์การเข้ารหัสยังคงถูกจัดประเภทเป็นอาวุธยุทโธปกรณ์ทหารและห้ามส่งออกโดยเด็ดขาด ในการแข่งขันกฎระเบียบเหล่านี้ซิมเมอร์มันน์ได้พิมพ์ซอร์สโค้ดในหนังสือจากนั้นแจกจ่ายไปทั่วโลก เหตุผลคือในขณะที่อาวุธถูกควบคุมอย่างเข้มงวดข้อความได้รับการคุ้มครองโดยการแก้ไขครั้งแรก สหรัฐฯทำการสอบสวนซิมเมอร์มันน์เป็นเวลาสามปี แต่ทิ้งข้อกล่าวหาทั้งหมดในปี 1996.

PGP เป็นระบบนามแฝง การใช้งานหลักคือการรักษาเนื้อหาของข้อมูลของคุณเป็นส่วนตัวและรับรองความถูกต้องของการสื่อสารและไฟล์ทั้งหมด เมื่อใช้ร่วมกับซอฟต์แวร์อย่าง Tor มันสามารถเพิ่มความเป็นนิรนามได้อย่างมาก อย่างไรก็ตามคุณลักษณะการลงนามของ PGP นั้นตรงกันข้ามกับการรักษาความเป็นคุณโดยไม่ระบุชื่อซึ่งใช้ในการพิสูจน์แบบดิจิทัลว่าคุณเขียนข้อความหรือตรวจสอบไฟล์.

เนื่องจากมาตรฐานเปิดเหล่านี้จึงสามารถสร้างซอฟต์แวร์ที่หลากหลายสำหรับอุปกรณ์ทั้งหมดที่สามารถโต้ตอบกับอุปกรณ์อื่นได้.

ใน PGP ผู้ใช้ทุกคนต้องสร้างพับลิกคีย์และไพรเวตคีย์ รหัสส่วนตัวยังคงอยู่ในคอมพิวเตอร์ของผู้ใช้และรหัสสาธารณะสามารถอัปโหลดไปยังเว็บได้อย่างปลอดภัยหรือมอบให้กับผู้ใช้รายอื่น ไม่จำเป็นต้องเชื่อมต่อกับข้อมูลประจำตัวจริงหรือที่อยู่อีเมลของคุณ แต่จำเป็นต้องมีข้อควรระวังเพื่อไม่ให้ผสมกุญแจ!

สมมติว่าคุณได้รับกุญแจสาธารณะของอลิซคุณสามารถใช้มันเพื่อสร้างไฟล์หรือข้อความที่อลิซอ่านได้เท่านั้น นอกจากนี้คุณยังสามารถยืนยันลายเซ็นของอลิซเพื่อยืนยันไฟล์ที่มาจากเธอจริง ๆ หรือว่าเธอได้ทำแถลงการณ์สาธารณะประกอบกับเธอ.

ในทางกลับกันหากคุณมีรหัสส่วนตัวของอลิซคุณสามารถใช้เพื่อเข้าถึงไฟล์ที่มีไว้สำหรับเธอเท่านั้น นอกจากนี้คุณยังสามารถใช้มันเพื่อลงชื่อไฟล์และข้อความสั่งเป็น Alice นี่คือเหตุผลที่คุณต้องเก็บคีย์ส่วนตัวของคุณไว้เป็นส่วนตัวและทำไมมันอาจเป็นอันตรายได้หากคอมพิวเตอร์ของคุณถูกบุกรุก หากมีคนเข้าถึงคอมพิวเตอร์ของคุณพวกเขาก็สามารถเข้าถึงรหัสส่วนตัวของคุณได้.

ในขณะที่คณิตศาสตร์ที่อยู่เบื้องหลัง PGP นั้นถือว่าเป็นกระสุน แต่ก็มีช่องโหว่มากมาย ปัญหาที่ใหญ่ที่สุดคือวิธีที่ดีที่สุดในการตรวจสอบกุญแจสาธารณะ เนื่องจากทุกคนสามารถอัปโหลดและแจกจ่ายคีย์ภายใต้ชื่อใด ๆ การตรวจสอบบางอย่างจึงจำเป็นเพื่อให้แน่ใจว่ารหัสที่คุณใช้นั้นเป็นของบุคคลที่คุณคิดว่าเป็นของจริง.

PGP พยายามแก้ไขสิ่งนี้ด้วยสิ่งที่พวกเขาเรียกว่า “เว็บแห่งความเชื่อถือ” ความคิดคือแม้ว่าคุณอาจไม่ได้พบกับบุคคลที่คุณโต้ตอบด้วยบางทีเพื่อนที่ไว้ใจได้ของคุณก็มี หรือเพื่อนที่ไว้ใจได้ของเพื่อนที่คุณไว้ใจเป็นต้น ในการสร้างห่วงโซ่ความไว้วางใจนี้อีกครั้งผู้ใช้แต่ละคนจะต้องเซ็นกุญแจของเพื่อน อย่างไรก็ตามกระบวนการนี้สามารถเปิดเผยข้อมูลส่วนตัวและการประนีประนอมและเป็นกระบวนการที่ค่อนข้างน่าเบื่อหน่าย ผลที่ตามมา, เว็บของความน่าเชื่อถือไม่ได้ใช้เพียงพอที่จะทำให้มีประโยชน์.

ติดตั้ง

ในการตั้งค่า PGP บนอุปกรณ์ของคุณคุณจะต้องติดตั้งโปรแกรมและสร้างคีย์ PGP ของคุณ มีโปรแกรมมากมายสำหรับความต้องการที่แตกต่างกัน แต่เราจะเน้นเฉพาะสิ่งที่ใช้ได้มากที่สุดเท่านั้น.

Mac

Mac OS X: GPGTools https://gpgtools.org/

iOS

iOS: iPGMail https://ipgmail.com/

ของ windows

Windows: GPG4Win https://gpg4win.org/

Android

Android: โครงการการ์เดียน https://guardianproject.info/code/gnupg/

ลินุกซ์

Ubuntu: Seahorse https://wiki.gnome.org/Apps/Seahorse/
Ubuntu: Enigmail https://www.enigmail.net/home/index.php

สร้างรหัสของคุณและสำรอง

ในการใช้ PGP คุณต้องสร้างคีย์ PGP โปรแกรม PGP ที่คุณเลือกจะขอชื่อและที่อยู่อีเมล แม้ว่าจะไม่สำคัญว่าข้อมูลประจำตัวใดที่คุณเลือกจะง่ายกว่าที่จะรวม PGP เข้ากับโปรแกรมอีเมลของคุณหากคุณใช้ที่อยู่อีเมลที่คุณเป็นเจ้าของ.

ExpressVPN แนะนำให้ตั้งค่าวันหมดอายุบนกุญแจของคุณเป็นเวลาประมาณ 2-3 ปีในอนาคต คุณสามารถเปลี่ยนวันที่นี้ได้ตลอดเวลาตราบใดที่คุณไม่ได้เข้าถึงคีย์ PGP ของคุณ.

ExpressVPN ยังแนะนำให้สร้างคีย์ด้วยขนาดสูงสุด (อย่างน้อย 2048 บิต) และตั้งรหัสผ่านที่ยาวและซับซ้อน (ซึ่งคุณสามารถสร้างด้วยเครื่องสร้างรหัสผ่านแบบสุ่มของเรา).

หากคุณทำรหัสผ่านหายคุณจะสูญเสียการเข้าถึงคีย์ PGP และจะไม่สามารถถอดรหัสไฟล์ใด ๆ ที่เกี่ยวข้องได้ ตรวจสอบให้แน่ใจว่าได้สำรองข้อมูลไว้อย่างดีและหากคุณไม่ไว้ใจตัวเองให้จำรหัสผ่านให้สำรองข้อมูลแยกต่างหาก คุณสามารถบันทึกไว้ในเครื่องมือจัดการรหัสผ่านของคุณหรือเพียงแค่จดไว้และเก็บไว้ในที่ปลอดภัย.

ตอนนี้คุณมีคีย์ PGP ของคุณแล้ว! ยินดีด้วย! ตอนนี้คุณสามารถอัปโหลดไปยังเซิร์ฟเวอร์สาธารณะเพื่อให้ผู้คนเห็นคุณใช้ PGP และพวกเขาสามารถหากุญแจของคุณได้.

ใบรับรองการเพิกถอน

ขั้นตอนต่อไปคือการสร้างใบรับรองการเพิกถอน ไม่ต้องกังวลเกี่ยวกับการทำให้ใบรับรองการเพิกถอนของคุณปลอดภัย ในความเป็นจริงคุณต้องการให้เข้าถึงได้มากที่สุด! ส่งไปให้ตัวคุณเองเป็นไฟล์แนบอีเมลใส่ไว้ในไดเรกทอรี Dropbox ของคุณและเก็บไว้ในไดรฟ์มาตรฐานของคุณ หากคุณสูญเสียรหัสส่วนตัวของคุณลืมรหัสผ่านหรือแย่กว่านั้นถ้ามีคนอื่นเข้าถึงรหัสนั้นคุณสามารถเพิกถอนรหัสนั้นได้ด้วยใบรับรองการเพิกถอน การเพิกถอนคีย์ส่วนตัวจะทำให้ผู้อื่นไม่สามารถส่งไฟล์อื่น ๆ ถึงคุณได้ด้วยรหัสนั้น นอกจากนี้ยังป้องกันไม่ให้คุณใช้คีย์ที่ถูกต้องสองตัวที่ลอยอยู่รอบ ๆ แหล่งที่มาของความสับสน.

การสำรองข้อมูล

การสำรองคีย์ของคุณนั้นยุ่งยากมาก คุณต้องการสำรองข้อมูลของคุณให้ปลอดภัยที่สุด หวังว่าไม่จำเป็นต้องกังวลเกี่ยวกับการเข้าถึงได้มากนัก.

ตรวจสอบให้แน่ใจว่าได้สำรองคีย์ PGP และรหัสผ่านแยกต่างหากเสมอ ตัวอย่างเช่นคุณสามารถเลือกที่จะเก็บรหัสผ่านของคุณไว้ในเครื่องมือจัดการรหัสผ่านและเก็บกุญแจไว้ในแท่ง USB ในตู้เซฟหรือธนาคารของคุณ.

หากคุณตั้งค่าการสำรองข้อมูลอัตโนมัติสำหรับข้อมูลทั่วไปของคุณคุณสามารถเก็บข้อมูลเหล่านั้นไว้ด้วยกัน แต่ต้องแน่ใจว่าข้อมูลเหล่านั้นได้รับการเข้ารหัสอย่างถูกต้อง!

ความปลอดภัยและการเข้าถึงมักจะขัดแย้งกัน ยิ่งคุณเข้าถึงกุญแจได้มากเท่าไหร่ก็จะยิ่งทำให้คนอื่นเข้าถึงได้ง่ายขึ้นเท่านั้น คิดเกี่ยวกับการตั้งค่าความเสี่ยงของคุณเมื่อตัดสินใจเกี่ยวกับความซับซ้อนของรหัสผ่านและตำแหน่งของข้อมูลสำรองของคุณ ใครบางคนที่หนีจากรัฐบาลเผด็จการควรใช้ความพยายามมากขึ้นในการรักษาความปลอดภัยของพวกเขามากกว่าคนธรรมดาที่ต้องการรักษาสิทธิในความเป็นส่วนตัวทางออนไลน์.

รับกุญแจ

คุณจะต้องได้รับคีย์ PGP สาธารณะของผู้ติดต่อของคุณก่อนจึงจะสามารถส่งข้อความที่เข้ารหัสหรือยืนยันไฟล์ของคุณและคุณจะต้องเผยแพร่ของคุณด้วย.

คุณสามารถอัปโหลดคีย์ PGP ของคุณไปยังเซิร์ฟเวอร์คีย์ซึ่งน่าจะเป็นสถานที่ที่สะดวกที่สุดในการรับรายชื่อของคุณ คุณยังสามารถโฮสต์ไว้ในเว็บไซต์ของคุณเชื่อมโยงไปยังทวิตเตอร์ชีวภาพของคุณหรือใช้บริการเฉพาะเช่น keybase.io คุณสามารถอัปโหลดคีย์ PGP ไปยังหน้า Facebook ของคุณ.

สามารถระบุคีย์ PGP ด้วย ID ผู้ใช้ (ชื่อหรือที่อยู่อีเมล) รหัสคีย์ (เช่น 0x0BACE776) และลายนิ้วมือ (เช่น 509E 7B97 D266 A283 DC10 5E6F 57ED 72A2 0BAC E776) ในขณะที่ทั้งรหัสคีย์และลายนิ้วมือถูกคำนวณจากคีย์ PGP เอง keyID นั้นสั้นเกินไปที่จะระบุรหัสที่ไม่ซ้ำกันดังนั้นจึงต้องการลายนิ้วมือแทน ทำไมไม่พิมพ์บนนามบัตรของคุณเพื่อเสริมความเป็นตัวตนและสถานะออนไลน์ของคุณในฐานะบุคคลที่มีความเป็นส่วนตัวและมีความรอบรู้?

เข้ารหัสไฟล์

ในการเข้ารหัสไฟล์คุณจะต้องใช้รหัสสาธารณะของบุคคลที่คุณต้องการส่งไฟล์ที่เข้ารหัสไป นอกจากนี้คุณยังสามารถเลือกกุญแจสาธารณะของคุณเองหรือใช้คีย์ PGP หลายแบบ.

คุณสามารถใช้ PGP เพื่อจัดเก็บกระเป๋าเงิน Bitcoin บน USB Stick ได้อย่างสะดวก ข้อดีมีมากมายและคุณไม่ต้องกังวลว่าใครจะสามารถเข้าถึงแท่ง USB ได้หรือว่าอาจถูกคัดลอกโดยที่คุณไม่รู้ตัว คุณไม่จำเป็นต้องจำรหัสผ่านหรือสื่อสารรหัสผ่านกับผู้รับไฟล์ที่ต้องการซึ่งมักจะเป็นไปไม่ได้หากไม่มีแชนเนลที่เข้ารหัส.

ซอฟต์แวร์ที่ทันสมัยช่วยให้คุณเข้ารหัสและถอดรหัสไฟล์ได้ง่าย บ่อยครั้งที่มันง่ายเหมือนการคลิกขวาที่ไฟล์ที่เป็นปัญหา เลือกรหัสและกระบวนการจะสร้างไฟล์. gpg หรือ .pgp ที่สามารถส่งได้อย่างปลอดภัยผ่านอินเทอร์เน็ตเก็บไว้ในหน่วยเก็บข้อมูลภายนอกหรือเก็บไว้ในระบบคลาวด์.

ลงชื่อเข้าใช้ไฟล์

ทุกคนสามารถเข้ารหัสไฟล์และส่งให้คุณและแม้ว่าไฟล์นั้นมาจากที่อยู่อีเมลของผู้ติดต่อคุณก็ไม่รับประกันว่าไฟล์นั้นจะถูกส่งโดยพวกเขาจริงๆ PGP เสนอตัวเลือกในการเซ็นชื่อไฟล์ซึ่งพิสูจน์ได้โดยไม่ต้องสงสัยว่าไฟล์นั้นมาจากผู้ติดต่อของคุณ.

คุณสามารถเลือกที่จะเข้ารหัสและเซ็นชื่อไฟล์เพียงเพื่อเข้ารหัสหรือเพียงแค่เซ็นมัน คุณสามารถใช้คุณสมบัตินี้เพื่อลงชื่อในที่สาธารณะหรือเพื่อลงนามในการออกซอฟต์แวร์ มันเป็นเรื่องธรรมดามากในโครงการซอฟต์แวร์โอเพนซอร์ซเพื่อลงนามรหัสและโปรแกรมใด ๆ.

หากซอฟต์แวร์ไม่ได้ลงนามมันจะยากมากในการตรวจสอบความถูกต้องของแท้เนื่องจากผู้โจมตีสามารถนำซอฟต์แวร์แบ็คดอร์กลับมาใช้โดยไม่ต้องมีความรู้จากผู้พัฒนา.

ไฟล์ลายเซ็นเหล่านี้มักจะมีชื่อเดียวกับไฟล์ที่พวกเขากำลังแสดงรวมถึงตอนจบ. asc หรือ. sig.

ในซอฟต์แวร์บางตัวคุณสามารถตรวจสอบลายเซ็นได้ด้วยการคลิกสองครั้งที่ไฟล์ลายเซ็นหรือเรียกใช้คำสั่ง gpg –verify file.sig

คุณจะต้องมีคีย์ PGP ของผู้ลงนามเพื่อยืนยันลายเซ็น.

แม้ว่าผู้โจมตีจะไม่สามารถเปลี่ยนไฟล์ที่เข้ารหัสได้โดยที่เจ้าของไม่ได้ค้นพบ แต่ก็ยังมีประโยชน์มากสำหรับผู้โจมตีที่จะรู้ว่าใครเข้ารหัสไฟล์นั้นตั้งแต่แรก ผู้ที่กำลังมองหา anonymity จำเป็นต้องสร้างคีย์ PGP ใหม่สำหรับผู้ติดต่อแต่ละรายอย่างระมัดระวังซึ่งอาจซับซ้อนและมีข้อผิดพลาดได้ง่าย ในกรณีเช่นนี้อาจเหมาะสมกว่าที่จะใช้เทคโนโลยีข้อความเข้ารหัสเช่น OTR ซึ่งมีการเข้ารหัสและการรับรองความถูกต้องที่เชื่อถือได้.

เซ็นชื่อและเข้ารหัสข้อความ

—– เริ่มต้น PGP ข้อความที่เซ็นชื่อ —–

Hash: SHA1

ด้วย PGP คุณสามารถลงนามและเข้ารหัสอะไรก็ได้ ในซอฟต์แวร์บางตัวมันก็เพียงพอที่จะเขียนข้อความของคุณในเท็กซ์เอดิเตอร์จากนั้นลงชื่อหรือเข้ารหัสด้วยการคลิกขวา.

นี่คือลักษณะลายเซ็น PGP ของคุณ มันสามารถโพสต์ในความคิดเห็น Reddit โพสต์บล็อกหรืออีเมลเพื่อพิสูจน์ว่าเป็นความจริงที่คุณแสดงความคิดเห็น:

—– เริ่มต้น PGP SIGNATURE —–

รุ่น: GnuPG v1

iQIcBAEBAgAGBQJWVXw0AAoJEIMuYyhAgNc6wKoP / AwSaInjpoSQKUBPukE + TY4vXWnoh1dCiOcLzCsbAz7IvLmtoILlGxfLwi0XUhAUQTKEAHxpWKbUTY / 5MNFA1UUscHSH4t + aCtlFxNk4mMCtZO7c3JPh91U1rgN1K9J5YE9flpk + P5F5fdEhF4iD05P67uf4 + T / k5cupD + pZv8pGnB + 5rpPPe7ODE5ptA3DyI3i8srrvKVkictxYub9RDknqYJAaE / xxFZ7 + mAZxM64gnN8Rwf + euDqdrf3PqiIUW6kcdvqJOyx7WZt + ows84kEze8AR3QhS1FBJfP3xAhsibBfy0sUSJopyl9kKIEDCcfGDf9Mthe3kzVUUayxz8AOrGC5ce6isg3YN4Nsi8K7idhPQyPgjBWtKWfuuYSUG + dPObVD + pFUkgOnrm07Qhp4ZVXKbuOnqf4swqc4vnW9C / 9ADwk2 / fat071fik8ohDzF9l4Cpm + iLj5w7Pv5iivvfe2oz0WCxnr6wj4XX5MsDTNOmMmObCWbnla + uYEJtDlbWse8XOq7q / DiMT9p + ZtHkSwrQ + 3TLNHxxJK7UJJFdlfZUZqC06LsSb2yEBh7rJytoN2PrpjB5H7Zx99DC5v + i1klr4hbrLeHtd + fVl1AGrMz + agcO6YQGpHJ0hhJXVrRruJjLJzOhJkzUU3o0rHeHRk69jKdAKpsOqABsunt5 = / QHs

—–END PGP SIGNATURE —–

เข้ารหัสอีเมล

เมื่อคุณเขียนอีเมลส่วนตัวคุณไม่ควรเขียนลงในโฟลเดอร์ร่างของผู้ให้บริการอีเมลของคุณ ทุกสิ่งที่คุณทำในโฟลเดอร์นั้นจะได้รับการบันทึกไว้ตลอดกาลและคุณไม่รู้ว่าใครสามารถเข้าถึงได้บ้าง อีกทางเลือกหนึ่งคือการเขียนอีเมลของคุณในแผ่นจดบันทึกเข้ารหัสข้อความแล้ววางข้อความที่เข้ารหัสลงในอีเมล การเขียนอีเมลในแผ่นจดบันทึกสามารถทำให้เหนื่อยและคัดลอกและวางเวอร์ชันที่เข้ารหัสได้มากขึ้น โชคดีที่มีปลั๊กอินสำหรับซอฟต์แวร์จดหมายเช่น Thunderbird (Enigmail) และ Apple Mail (GPGTools) ที่ทำให้กระบวนการถอดรหัสและการเข้ารหัสราบรื่น มันคือการป้องกันความเป็นส่วนตัวที่แข็งแกร่งมากกับคู่แข่งที่ซับซ้อนที่สุด.

สิ่งหนึ่งที่ยอดเยี่ยมที่คุณสามารถทำได้ทันทีคืออัปโหลดคีย์ PGP ของคุณไปที่ Facebook และรับการอัปเดตและการแจ้งเตือนทั้งหมดในรูปแบบที่เข้ารหัส สิ่งนี้มีประโยชน์อย่างยิ่งสำหรับข้อมูลสำคัญด้านความปลอดภัยเช่นการรีเซ็ตรหัสผ่าน การใช้ PGP บน Facebook จะป้องกันไม่ให้แฮ็กเกอร์ลักลอบใช้บัญชี Facebook ของคุณผ่านบัญชีอีเมลของคุณ.

ข้อมูลเมตาและความปลอดภัย

PGP ได้รับการออกแบบมาเพื่อซ่อนเนื้อหาของไฟล์และข้อความ แต่ไม่ได้ป้องกันข้อมูลเมตาของคุณ ข้อมูลเมตาสามารถรวมชื่อไฟล์ขนาดไฟล์ส่วนหัวของอีเมลวันที่สร้างและผู้รับ แฮกเกอร์สามารถเรียนรู้มากมายจากความรู้ดังกล่าวดังนั้นจึงเป็นสิ่งสำคัญที่จะต้องระมัดระวังเกี่ยวกับสิ่งที่คุณแบ่งปัน – แม้ว่าจะใช้ PGP.

นอกจากนี้ยังเป็นเรื่องง่ายสำหรับทุกคนที่มีไฟล์ที่เข้ารหัสเพื่อดูว่าใครเป็นผู้เข้ารหัสและใครเป็นผู้เซ็นชื่อ PGP ไม่ได้เสนอความลับล่วงหน้าดังนั้นหากคีย์ของคุณถูกบุกรุกผู้โจมตีสามารถเข้าถึงการสื่อสารที่เข้ารหัสไฟล์ทั้งหมดได้ พวกเขาสามารถถอดรหัสทุกอย่างอาจทำให้หลายปีของอีเมลและการถ่ายโอนไฟล์.

นี่คือเหตุผลที่คุณควรเข้ารหัสคีย์ด้วยรหัสผ่านที่ดีใช้หลายคีย์ในหลาย ๆ สถานการณ์และแทนที่คีย์ PGP ของคุณเป็นประจำ.

สิ่งสำคัญคือต้องรู้ว่า PGP ไม่ได้เข้ารหัสชื่อไฟล์หรือส่วนหัวของอีเมล ดังนั้นระวังสิ่งที่คุณเขียนไว้!