Что за программа pgp

Содержание

PGP — это криптографическая (шифровальная) программа с высокой степенью надежности, которая позволяет пользователям обмениваться информацией в электронном виде в режиме полной конфиденциальности. Главное преимущество этой программы состоит в том, что для обмена зашифрованными сообщениями пользователям нет необходимости передавать друг другу тайные ключи, т.к. эта программа построена на новом принципе работы — публичной криптографии, или обмене открытыми (публичными) ключами, где пользователи могут открыто посылать друг другу свои публичные ключи с помощью сети «Интернет» и при этом не беспокоиться о возможности несанкционированного доступа каких-либо третьих лиц к их конфиденциальным сообщениям.

В PGP применяется принцип использования двух взаимосвязанных ключей: открытого и закрытого. К закрытому ключу имеете доступ только вы, а свой открытый ключ вы распространяете среди своих корреспондентов. Великолепное преимущество этой программы состоит также в том, что она бесплатная и любой пользователь, имеющий доступ к Интернету, может ее «скачать» на свой компьютер в течение получаса. PGP шифрует сообщение таким образом, что никто кроме получателя сообщения, не может ее расшифровать. Создатель PGP Филипп Циммерман открыто опубликовал код программы, который неоднократно был исследован специалистами криптоаналитиками высочайшего класса и ни один из них не нашел в программе каких-либо слабых мест.

через PGP шифровать ОПАСНО! Совет эксперта

1. Назначение и основные функции pgp

Пользователям сети «Интернет» рекомендуется использовать эту программу именно по той же причине, почему люди предпочитают посылать друг другу письма в конвертах, а не на открытках, которые могут быть легко прочитаны почтовыми служащими. Дело в том, что электронные сообщения, в том виде и формате, который существует на сегодняшний день, легко могут быть прочитаны и архивированы любым человеком, имеющим доступ к серверу Интернет провайдера (поставщика услуг сети «Интернет).

В настоящий момент спецслужбам проще и дешевле подключиться к электронным адресам большого количества лиц, нежели к телефонным разговорам. Здесь вообще ничего делать не надо. Все сделает компьютер. Агенту спецслужбы или другому заинтересованному человеку остается только сесть за компьютер и просмотреть все ваши сообщения. Научно-технический прогресс облегчил задачу таким людям, однако, этот же самый прогресс предоставил возможность пользователям сети «Интернет» скрыть свои сообщения от третьих лиц таким образом, что даже суперкомпьютер, стоимостью несколько десятков миллионов долларов, не способен их расшифровать.

Как pgp работает

Когда пользователь шифрует сообщение с помощью PGP, то программа сначала сжимает текст, что сокращает время на отправку сообщения через модем и увеличивает надежность шифрования. Большинство приемов криптоанализа (взлома зашифрованных сообщений) основаны на исследовании «рисунков», присущих текстовым файлам, что помогает взломать ключ.

Знакомство с PGP

Сжатие ликвидирует эти «рисунки» и таким образом повышает надежность зашифрованного сообщения. Затем PGP генерирует сессионный ключ, который представляет собой случайное число, созданное за счет движений вашей мышки и нажатий на клавиши клавиатуры.

Как только данные будут зашифрованы, сессионный ключ зашифровывается с помощью публичного ключа получателя сообщения, который отправляется к получателю вместе с зашифрованным текстом. Расшифровка происходит в обратной последовательности.

Программа PGP получателя сообщения использует закрытый ключ получателя для извлечения временного сессионного ключа, с помощью которого программа затем дешифрует зашифрованный текст. Ключи Ключ — это число, которое используется криптографическим алгоритмом для шифрования текста. Как правило, ключи — это очень бо расшифровать льшие числа. Размер ключа измеряется в битах.

Число, представленное 1024 битами — очень большое. В публичной криптографии, чем больше ключ, тем его сложнее взломать. В то время как открытый и закрытый ключи взаимосвязаны, чрезвычайно сложно получить закрытый ключ, исходя из наличия только открытого ключа, однако это возможно при наличии большой компьютерной мощности.

Поэтому крайне важно выбирать ключи подходящего размера: достаточно большого для обеспечения безопасности и достаточно малого для обеспечения быстрого режима работы. Кроме этого, необходимо учитывать личность того, кто намеревается прочитать ваши зашифрованные сообщения, насколько он заинтересован в их расшифровке, каким временем он обладает, и какие у него имеются ресурсы.

Более большие ключи будут более надежными в течение более длительного срока времени. Поэтому если вам необходимо зашифровать информацию с тем, чтобы она хранилась в течение нескольких лет, то необходимо использовать более крупный ключ.

Ключи хранятся на жестком диске вашего компьютера в зашифрованном состоянии в виде двух файлов: одного для открытых ключей, а другого — для закрытых. Эти файлы называются «кольцами» (keyrings). В течение работы с программой PGP вы, как правило, будете вносить открытые ключи ваших корреспондентов в открытые «кольца». Ваши закрытые ключи хранятся в вашем закрытом «кольце». При потере вашего закрытого «кольца» вы не сможете любую информацию, зашифрованную с помощью ключей, находящихся в этом «кольце».

Источник: studfile.net

Защита целостности кода с помощью PGP. Часть 1. Базовые концепции и инструменты

Если вы пишете код, который попадает в общедоступные репозитории, вам может пригодиться PGP. В этой серии статей, перевод первой из которых мы публикуем сегодня, будут рассмотрены вопросы использования PGP для обеспечения целостности кода программного обеспечения. Эти материалы, в основном, нацелены на разработчиков свободного ПО, хотя изложенные здесь принципы применимы в любых ситуациях, когда разработка ведётся силами распределённых команд программистов.

О структуре материалов

Каждый раздел этой серии материалов разбит на две части:

Контрольный список, который может быть адаптирован под нужды конкретного проекта.
Пояснения, раскрывающие суть элементов контрольного списка, а также инструкции по работе с программами.

Особенности контрольного списка

Элементы в каждом из контрольных списков включают в себя сведения об уровне приоритетности того или иного пункта. Надеемся, это поможет вам в ходе принятия решений по использованию предлагаемых рекомендаций.

Элементам, которым назначен приоритет «важно», следует уделить особое внимание. Если рекомендации из «важных» пунктов не будут реализованы, это будет означать высокий риск возникновения проблем с кодом, включаемым в проект.
Элементы с приоритетом «рекомендовано» содержат рекомендации, которые полезно реализовать для улучшения общего уровня безопасности. Их внедрение может подействовать на взаимодействие программиста с его рабочим окружением, это, возможно, потребует приобретения новых привычек или отказа от старых.

Базовые концепции и инструменты PGP

▍Контрольный список

Вот темы, в которых нужно ориентироваться после успешного освоения материала этого раздела:

Роль PGP в разработке свободного ПО (Важно).
Основы криптографии с открытым ключом (Важно).
Различия между шифрованием и подписыванием материалов (Важно).
Идентификационные данные ключей PGP (Важно).
Достоверность ключей PGP (Важно).
Установка утилит GnuPG (версии 2.x) (Важно).

▍Пояснения

Сообщество открытого ПО уже давно полагается на PGP для обеспечения аутентичности и целостности разрабатываемых программных продуктов. Вы можете об этом не знать, но работаете ли вы в среде Linux, Mac или Windows, вы уже пользовались PGP для того, чтобы обеспечить целостность вашего вычислительного окружения.

Дистрибутивы Linux используют PGP для обеспечения неизменности бинарных пакетов или пакетов с исходным кодом с момента их создания до момента их установки конечным пользователем.
Проекты свободного ПО обычно предлагают отдельные подписи PGP для выпущенных программных архивов, таким образом, проекты, полагающиеся на них, могут проверить целостность загруженных релизов перед интеграцией их в собственные дистрибутивы.
Проекты свободного ПО обычно полагаются на подписи PGP в самом коде для того, чтобы отслеживать происхождение и обеспечивать целостность кода, вносимого в проект его разработчиками.

Наша цель заключается в том, чтобы помочь вам контролировать происхождение кода, попадающего в ваш проект, и отслеживать его целостность с помощью PGP. Сделать это можно, следуя рекомендациям по работе с PGP и усвоив основные правила безопасности.

▍Обзор работы PGP

Вам не нужно знать все подробности о том, как работает PGP. Для успешного использования этой технологии достаточно понимания её базовых концепций. В PGP используются криптография с открытым ключом. С помощью криптографических методов, например, обычный текст может быть преобразован в текст зашифрованный. Этот процесс требует наличия двух разных ключей:

Открытого ключа, который известен всем.
Закрытого ключа, который известен только владельцу.

▍Шифрование

Для шифрования PGP использует открытый ключ того, для кого предназначен зашифрованный материал. В ходе шифрования создаётся сообщение, которое можно расшифровать только используя соответствующий закрытый ключ, принадлежащий получателю сообщения.

Процесс шифрования выглядит так:

Отправитель создаёт случайный ключ шифрования (сеансовый ключ).
Отправитель шифрует содержимое сообщения, применяя этот сеансовый ключ (с использованием симметричного шифра).
Отправитель шифрует сеансовый ключ, используя открытый ключ PGP получателя.
Отправитель отправляет зашифрованные данные и зашифрованный сеансовый ключ получателю.

Получатель расшифровывает сеансовый ключ, используя свой закрытый ключ PGP.
Получатель использует сеансовый ключ для расшифровки содержимого сообщения.

▍Подписывание

Для подписывания данных открытые и закрытые ключи PGP используются обратным способом:

Подписывающий генерирует хэш контрольной суммы неких данных.
Подписывающий использует собственный закрытый ключ для шифрования этой контрольной суммы.
Подписывающий предоставляет зашифрованную контрольную сумму вместе с данными.

Проверяющий генерирует собственную контрольную сумму данных.
Проверяющий использует открытый ключ подписывающего для расшифровывания предоставленной контрольной суммы.
Если контрольные суммы совпадают, значит целостность содержимого подтверждена.

▍Совместное использование шифрования и подписывания

Часто зашифрованные сообщения ещё и подписывают с использованием собственного PGP-ключа отправителя данных. Подобный подход следует использовать всегда, когда осуществляется обмен зашифрованными сообщениями, так как шифрование без аутентификации не имеет особого смысла (пожалуй, анонимность в подобных вещах нужна лишь секретным агентам и тем, кто делает общественным достоянием некую закрытую информацию).

▍Идентификационные данные ключа

С каждым PGP-ключом должны быть ассоциированы идентификационные данные владельца ключа. Обычно это — полное имя человека и адрес электронной почты в следующем формате:

Alice Engineer

Иногда идентификационные данные так же содержат комментарии, приводимые в скобках и предназначенные для того, чтобы сообщить конечному пользователю подробности о конкретном ключе:

Bob Designer (obsolete 1024-bit key)

Так как люди, владельцы ключей, могут играть множество профессиональных и персональных ролей, в одном и том же ключе могут присутствовать несколько наборов идентификационных данных:

Alice Engineer Alice Engineer Alice Engineer

Когда используются множество наборов идентификационных данных, один из них помечается как основной, для упрощения поиска ключа.

▍Достоверность ключа

Для того чтобы иметь возможность использовать чей-нибудь открытый ключ для шифрования или верификации, вам нужно убедиться в том, что он действительно принадлежит этому человеку (Alice в данном случае), а не мошеннику (пусть мошенника зовут Eve). В PGP это называется достоверностью ключа:

Полная достоверность ключа означает, что имеется очень высокий уровень уверенности в том, что данный ключ принадлежит Alice.
Граничная достоверность ключа означает, что мы до некоторой степени уверены в том, что ключ принадлежит Alice.
Неизвестная достоверность ключа означает, что у нас абсолютно нет уверенности в том, что этот ключ принадлежит Alice.

▍Сеть доверия и механизм «доверие при первом использовании»

PGP включает в себя механизм делегирования доверия, известный как сеть доверия (Web of Trust, WOT). В своей основе — это попытка заменить необходимость в централизованных службах сертификации вроде тех, что используются в HTTPS/TLS. При таком подходе пользователь самостоятельно принимает решения о том, кому можно доверять.

▍О терминологии

Тут нам хотелось бы отметить важность понимания различий между такими терминами, как PGP, OpenPGP, GnuPG и gpg:

PGP (Pretty Good Privacy) — это название коммерческой программы, вышедшей в 1991-м году.
OpenPGP — это стандарт IETF, совместимый с PGP.
GnuPG (Gnu Privacy Guard) — это бесплатное ПО, которое реализует стандарт OpenPGP.
Инструмент командной строки для GnuPG называется gpg.

Ключ PGP (не GnuPG или GPG)
Подпись PGP (не GnuPG или GPG)
Сервер ключей PGP (не GnuPG или GPG)

▍Установка GnuPG

Если вы используете Linux, это значит, что в вашей системе уже установлено ПО GnuPG. На Mac вам надо установить GPG-Suite, или воспользоваться командой brew install gnupg2 . Если вы пользователь Windows, то вам подойдёт GPG4Win, и вам, вероятно, потребуется изменить некоторые команды из этого руководства. Если же вы пользуетесь в Windows Unix-подобным окружением, то команды менять не придётся. Если вы пользуетесь какими-то другими платформами, то вам понадобится самостоятельно подобрать подходящую реализацию GnuPG.

▍GnuPG версий 1 и 2

И GnuPG v.1, и GnuPG v.2 реализуют один и тот же стандарт, но они предоставляют несовместимые библиотеки и инструменты командной строки, в результате многие дистрибутивы поставляются и с устаревшей версией 1, и с более новой версией 2. Вам нужно удостовериться в том, что вы всегда пользуетесь GnuPG v.2.

Для начала, для того, чтобы узнать, какая версия GnuPG скрывается в вашей системе под именем gpg , выполните следующую команду:

$ gpg —version | head -n1

Если вы видите нечто вроде gpg (GnuPG) 1.4.x , это значит, что по команде gpg вызывается GnuPG v.1. Попробуйте в таком случае команду gpg2 :

$ gpg2 —version | head -n1

Если вы видите что-то вроде gpg (GnuPG) 2.x.x , значит, всё в порядке. Тут мы полагаем, что у вас есть версия GnuPG 2.2 или более поздняя. Если вы используете версию GnuPG 2.0, некоторые из команд, которые будут здесь приведены, работать не будут, поэтому вам стоит рассмотреть возможность установки самой свежей версии 2.2 GnuPG.

▍Псевдоним для GnuPG v.2

Если в вашей системе есть и команда gpg , и команда gpg2 , хорошо бы настроить всё так, чтобы по команде gpg вызывалась GnuPG v.2, а не старая версия ПО. Сделать это можно, создав псевдоним:

$ alias gpg=gpg2

Эту команду можно поместить в .bashrc для того, чтобы на команду gpg откликалась программа GnuPG v.2.

Итоги

Здесь мы поговорили об основах PGP, которыми необходимо владеть для успешного применения PGP в деле защиты кода. В следующий раз мы расскажем о создании и защите PGP-ключей.

Уважаемые читатели! Используете ли вы PGP для защиты кода ваших программных проектов?

Блог компании RUVDS.com
Информационная безопасность
Разработка веб-сайтов

Источник: habr.com

Что такое шифрование PGP и как вести секретную переписку?

Pretty Good Privacy (PGP) — это система шифрования, используемая как для отправки зашифрованных писем, так и для шифрования конфиденциальных файлов. С момента своего изобретения в 1991 году PGP стала фактическим стандартом защиты электронной почты.

Популярность PGP основана на двух факторах. Во-первых, система изначально была доступна как бесплатное ПО и поэтому быстро распространилась среди пользователей, которым требовался дополнительный уровень безопасности для своих сообщений электронной почты. Во-вторых, поскольку PGP использует как симметричное шифрование, так и шифрование с открытым ключом, он позволяет пользователям, которые никогда не встречались, отправлять друг другу зашифрованные сообщения без обмена закрытыми ключами шифрования.

Как работает шифрование PGP?

PGP разделяет некоторые функции с другими системами шифрования, о которых вы, возможно, слышали, например, шифрование Kerberos (которое используется для аутентификации пользователей сети) и шифрование SSL (которое используется для защиты веб-сайтов).

На базовом уровне шифрование PGP использует комбинацию двух форм шифрования: шифрование с симметричным ключом и шифрование с открытым ключом.

Математика, лежащая в основе шифрования, может быть довольно сложной , поэтому здесь мы будем придерживаться основных концепций. Вот как работает шифрование PGP на самом высоком уровне:

Сначала PGP генерирует случайный сеансовый ключ, используя один из двух (основных) алгоритмов. Этот ключ — огромное количество, которое невозможно угадать, и используется только один раз.
Далее этот сеансовый ключ шифруется. Это делается с использованием открытого ключа предполагаемого получателя сообщения. Открытый ключ привязан к личности конкретного человека, и любой может использовать его для отправки им сообщения.
Отправитель отправляет свой зашифрованный сеансовый ключ PGP получателю, и он может расшифровать его, используя свой закрытый ключ. Используя этот сеансовый ключ, получатель теперь может расшифровать фактическое сообщение.

Пример шифрования PGP в действии

На практике отправить сообщение, зашифрованное с помощью PGP, проще, чем кажется из приведенного выше объяснения. Давайте посмотрим на ProtonMail — в качестве примера.

ProtonMail изначально поддерживает PGP, и все, что вам нужно сделать, чтобы зашифровать электронную почту, — это выбрать «Подписать почту». Вы увидите значок замка в строке темы их электронных писем. Электронное письмо будет выглядеть так (адреса электронной почты были размыты из соображений конфиденциальности):

Плюсы шифрования PGP

Основным преимуществом шифрования PGP является то, что его невозможно взломать. Вот почему его до сих пор используют журналисты и активисты, и почему его часто считают лучшим способом повышения безопасности облака . Короче говоря, по сути, никто — будь то хакер или даже АНБ — не может взломать шифрование PGP.

Хотя были некоторые новости, в которых указываются недостатки безопасности в некоторых реализациях PGP, такие как уязвимость Efail , важно понимать, что сам PGP по-прежнему очень безопасен.

Минусы шифрования PGP

Самый большой недостаток шифрования PGP в том, что оно не очень удобно для пользователя. Это поправимо — благодаря готовым решениям, к которым мы скоро придем, — но использование PGP может добавить значительную дополнительную работу и время в ваш ежедневный график.

Кроме того, те, кто использует систему, должны знать, как она работает, на случай, если они введут дыры в безопасности из-за ее неправильного использования. Это означает, что предприятиям, рассматривающим возможность перехода на PGP, необходимо будет провести обучение. По этой причине многие компании могут захотеть рассмотреть альтернативы.

Например, существуют приложения для обмена зашифрованными сообщениями, такие как Signal, которые предлагают более простое в использовании шифрование. С точки зрения хранения данных анонимизация может быть хорошей альтернативой шифрованию и может быть более эффективным использованием ресурсов. Наконец, вы должны знать, что PGP шифрует ваши сообщения, но не делает вас анонимным. В отличие от анонимных браузеров, использующих прокси-серверы или работающих через VPN, чтобы скрыть ваше истинное местоположение, электронные письма, отправленные через PGP, можно отследить до отправителя и получателя. Их темы тоже не зашифрованы, поэтому не следует помещать в них конфиденциальную информацию.

Различные решения PGP

В зависимости от того, почему вы используете PGP и как часто вам нужно его использовать, существует несколько различных подходов к его настройке. В этом разделе мы сосредоточимся на том, что большинству пользователей понадобится от PGP — защищенная электронная почта — а не на зашифрованном хранилище файлов, что является более сложной проблемой. Итак, вот пять решений для внедрения PGP в вашей домашней или деловой сети.

1. Outlook с gpg4o

Gpg4o — одно из самых популярных решений PGP для пользователей Windows, которое нацелено на бесшовную интеграцию с Outlook 2010-2016.

Плюсы: Gpg4o предлагает простую обработку электронных писем и хорошо интегрируется с Outlook. Для большинства пользователей Windows он предлагает самую простую и удобную надстройку PGP.
Минусы: Хотя Gpg4o построен на основе стандарта OpenPGP , который является открытым и доступен для изучения, само надстройка является проприетарной. Кроме того, бизнес-лицензия на надстройку стоит относительно дорого — 56,36 евро, хотя за эту цену вы также получаете специальную поддержку.

2. Apple Mail с помощью GPGTools

Стандартной реализацией шифрования PGP для пользователей Mac является GPGTools , который представляет собой набор программного обеспечения, которое предлагает шифрование для всех областей вашей системы Mac.

Плюсы: GPGTools хорошо интегрируется с Apple Mail, как в примере выше. Он также предлагает диспетчер ключей, программное обеспечение, которое позволяет использовать PGP практически в любом приложении, и инструмент, позволяющий использовать командную строку для наиболее распространенных задач управления ключами.
Минусы: Хотя GPGTools предлагает пользователям Mac самый простой способ начать использовать шифрование PGP, использование этого шифрования для вашей основной электронной почты может снизить производительность Apple Mail.

3. Thunderbird с Enigmail

Как и перечисленные выше инструменты, Enigmail был разработан для интеграции с конкретным почтовым клиентом, в данном случае с Thunderbird.

Плюсы: Enigmail имеет несколько ключевых преимуществ. Во-первых, надстройка, как и Thunderbird, не зависит от платформы. Во-вторых, надстройка полностью с открытым исходным кодом и предоставляется бесплатно. Он также регулярно обновляется, и команда разработчиков быстро реагирует на выявленные экземпляры вредоносного ПО.
Минусы: Как и в большинстве программ с открытым исходным кодом, Enigmail не предоставляет специальной поддержки. С другой стороны, сообщество пользователей велико и активно и собрало огромное количество справочных материалов, которые помогут вам начать работу.

4. ProtonMail

ProtonMail был одним из первых провайдеров защищенной электронной почты и остается одним из самых популярных. В отличие от решений, описанных выше, ProtonMail работает через веб-портал, а это означает, что его легко отделить от вашего повседневного почтового ящика.

Плюсы: ProtonMail автоматически использует шифрование PGP для сообщений, отправляемых между двумя пользователями его службы, что упрощает настройку и использование PGP. Подобные сервисы — Hushmail и Mailfence похожи — и представляют собой простой способ отправки случайных зашифрованных сообщений электронной почты без перенастройки всей вашей системы.
Минусы: поскольку ProtonMail реализует PGP через встроенный в веб-сайт JavaScript, некоторые люди не считают его полностью безопасным. Тем не менее, ProtonMail очень серьезно относится к безопасности своей системы и очень активно работает над ее улучшением.

5. Android и FairEmail

Наконец, FairEmail , который расширяет шифрование PGP на телефоны Android. Это автономное почтовое приложение, которым можно пользоваться бесплатно.

Плюсы: FairEmail — самое простое решение для пользователей, которые хотят использовать шифрование PGP на своем телефоне Android. Это дает вам возможность шифровать сообщения вместо того, чтобы делать это по умолчанию, поэтому вы можете выбрать, что шифровать.
Минусы: поскольку использование PGP через Android по-прежнему довольно редко, сообщество пользователей FairEmail довольно невелико.

Источник: dzen.ru