OpenPGP, GnuPG, PGP

Ζητούνται σχόλια και παρατηρήσεις. Το άρθρο αυτό έχει προσφάτως πάρει μία ολοκληρωμένη μορφή. Ζητούνται σχόλια και παρατηρήσεις σχετικά με την ορθότητα και πληρότητα των περιεχομένων, την ορθογραφία, τη σύνταξη, τον τρόπο γραφής και την ευκολία κατανόησης του άρθρου. Αφήστε τα σχόλια σας στη σελίδα συζήτησης αυτού του άρθρου.

Καρικατούρα του Phil Zimmermann, δημιουργού του PGP.

• Το PGP (Pretty Good Privacy) είναι ένα πρόγραμμα το οποίο προσφέρει κρυπτογράφηση και πιστοποίηση για επικοινωνία δεδομένων. Το PGP χρησιμοποιείται για κρυπτογράφηση κειμένου, αρχείων, καταλόγων/φακέλων, αλλά πρωτίστως χρησιμοποιείται για να προσφέρει ιδιωτικότητα και πιστοποίηση στην ανταλλαγή email. Δημιουργήθηκε το 1991 από τον Phil Zimmermann.

• 
  Το GNU Privacy Guard (GnuPG ή GPG) είναι μία ελεύθερου λογισμικού εναλλακτική στην κρυπτογραφική σουίτα PGP. Το GPG δημοσιεύεται υπό την άδεια ελεύθερου λογισμικού GPL. Είναι cross-platform, ακολουθεί το πρότυπο OpenPGP και είναι συμβατό με το PGP.

• Το OpenPGP είναι ένα standard, ένα ανοιχτό πρότυπο για κρυπτογράφηση και αποκρυπτογράφηση δεδομένων. Το PGP, το GPG και αντίστοιχα προγράμματα ακολουθούν το OpenPGP πρότυπο για κρυπτογράφηση και αποκρυπτογράφηση δεδομένων.

Σε ορισμένες περιπτώσεις μπορεί κάποια από τα ονόματα να χρησιμοποιούνται τυπικά λανθασμένα. Μπορεί πχ να μιλάμε για GPG κλειδιά, ενώ θα ήταν πιο σωστό να μιλάμε για OpenPGP κλειδιά. Το σημαντικό είναι να θυμόμαστε ότι το OpenPGP είναι πρότυπο, ενώ τα GPG και PGP είναι προγράμματα. Επιπλέον το GPG είναι cross-platform και ελεύθερο λογισμικό.

PGP Web of Trust

Βασική αρχή της λειτουργίας του PGP/GPG είναι το web of trust (ιστός εμπιστοσύνης). Σε αντίθεση με τα ιεραρχικά συστήματα PKI (X.509) τα οποία βασίζονται στο γεγονός πως κάποιες κεντρικές αρχές (Certificate Authorities) που τις θεωρούμε έμπιστες υπογράφουν τα πιστοποιητικά (κλειδιά) των υπολοίπων, στο pgp web of trust οποιοσδήποτε μπορεί να υπογράψει το δημόσιο κλειδί κάποιου άλλου. Δημιουργείται έτσι ένας χαοτικός γράφος αφού όλοι μπορούν να υπογράψουν όλους. Με βάση αυτό το γράφο και κάποια "βάρη" είναι δυνατόν να πιστοποιήσει κανείς πως ένα κλειδί που ισχυρίζεται κάποιος άγνωστος πως του ανήκει, είναι όντως δικό του. Αυτό γίνεται επιβεβαιώνοντας τις υπογραφές που φέρει αυτό το κλειδί από ανθρώπους που τους εμπιστεύεται αυτός ο οποίος ζητάει να κάνει την πιστοποίηση. Για να επιτευχθεί αυτό υπάρχουν 2 χαρακτηριστικά σε κάθε υπογραφή κλειδιού. Το ένα είναι το επίπεδο πιστοποίησης (certification level) και το άλλο είναι το επίπεδο εμπιστοσύνης (trust level).

Το επίπεδο πιστοποίησης δηλώνει πόσο καλά επιβεβαιώσαμε τα στοιχεία του κατόχου του κλειδιού πριν το υπογράψουμε. Ακριβώς επειδή η απάντηση αυτή μπορεί να είναι λανθασμένη δεν συνίσταται η χρήση του χαρακτηριστικού αυτού. Για περισσότερα δείτε το άρθρο: gpg --ask-cert-level considered harmful.

Το επίπεδο εμπιστοσύνης δηλώνει πόσο πολύ εμπιστευόμαστε την υπογραφή του συγκεκριμένου χρήστη αυτού πάνω σε κλειδιά άλλων. Για να το θέσουμε αυτό σε ένα κλειδί πρέπει να το υπογράψουμε είτε δημόσια (--sign) είτε τοπικά (--lsign). Όσο μεγαλύτερο επίπεδο εμπιστοσύνης δηλώσουμε κατά την υπογραφή μας, τόσο πιο εύκολα θα εμπιστευόμαστε κλειδιά τρίτων που φέρουν την υπογραφή του χρήστη που υπογράφουμε εμείς. Οι τιμές που μπορούμε να θέσουμε είναι:

 1 = I don't know or won't say
 2 = I do NOT trust
 3 = I trust marginally
 4 = I trust fully
 5 = I trust ultimately

όπου την τιμή 5 πρέπει να την βάζουμε μόνο στο δικό μας κλειδί και την τιμή 4 σε ανθρώπους που εμπιστευόμαστε πλήρως.

Παράδειγμα ιεραρχικού γράφου X.509: https://users.ece.cmu.edu/~adrian/630-f04/PGP-intro_files/fig1-12.gif

Παράδειγμα PGP γράφου εμπιστοσύνης: https://people.apache.org/~henkp/trust/httpd-grey.jpg

Διαβάστε επίσης

• Τα OpenPGP, PGP, GPG κάνουν χρήση κρυπτογράφησης δημόσιου κλειδιού.
• Για μία επιφανειακή εξήγηση της χρησιμότητας και της λειτουργίας τους, διαβάστε το άρθρο για ασφαλή επικοινωνία μέσω email.
• Εγκαθιστούμε και χρησιμοποιούμε το GPG στον οδηγό εγκατάστασης και χρήσης του Thunderbird με Enigmail για την ανταλλαγή κρυπτογραφημένων και ψηφιακά υπογεγραμμένων email.