Основы работы с криптографической программой pgp
Основы работы с криптографической программой PGP: Метод. указ. к лаб. работе / Самар. гос. техн. ун-т; Сост. В.И. Будин, С.Н. Майорова. Самара, 2005. 34 с.
Приведена лабораторная работа по изучению и применению криптографической программы PGP8.0.
Методические указания предназначены студентов технических вузов, изучающих дисциплину «Информатика».
Библиогр.: 2 назв.
Основы работы с криптографической программой pgp
Цель работы — изучение функциональных возможностей криптографической программы PGP и приобретение навыков практической работы по шифрованию информации.
1. Основные понятия криптографической программы
1.1. Общие сведения
PGP (Pretty Good Privacy — довольно хорошая секретность)- это криптографическая (шифровальная) программа с высокой степенью надежности, которая позволяет пользователям обмениваться информацией в электронном виде в режиме полной конфиденциальности.
Знакомство с PGP
В PGP применяется принцип использования двух взаимосвязанных ключей: открытого (public key)изакрытого (private key). Это очень большие числа, генерируемые случайным образом (1024 бита, 2048 бит и т.д.). К закрытому ключу имеет доступ только отправитель сообщения, а открытый ключ публикуется или распространяться через коммуникационные сети среди своих корреспондентов. При этом открытым ключом информация шифруется, закрытым расшифровывается.
Открытые ключи можно публиковать на сервере открытых ключей или распространять через коммуникационные сети среди корреспондентов. Они хранятся в компьютере в каталоге pubring.pkr в виде «сертификатов открытых ключей», которые включают в себя:
- идентификатор пользователя владельца ключа (обычно это имя пользователя);
- временную метку, которая указывает время генерации пары ключей;
- собственно ключи.
1.2. Принцип работы pgp
Процесс шифрования сообщения с помощью PGPсостоит из ряда шагов (рис. 1). Сначала программа сжимает текст. Это сокращает время на отправку сообщения через модем и увеличивает надежность шифрования. Примечание: Большинство приемов криптоанализа (взлома зашифрованных сообщений) основаны на исследовании “рисунков”, присущих текстовым файлам, что помогает взломать ключ. Сжатие ликвидирует эти “рисунки”. Для обеспечения установления подлинности сообщения его можно «подписать». Это делается добавлением к сообщению электронной (цифровой) подписи, которую получатель может проверять, используя открытый ключ отправителя для расшифровки. Цифровая подпись — это блок данных, сгенерированный с использованием секретного ключа. Программа делает это следующим образом:
- Из документа генерируется дайджест сообщения(это 160 или 128 – битная «выжимка» или контрольная сумма файла сообщения), к нему добавляется информация о том, кто подписывает документ и штамп времени.
- Закрытый ключ отправителя используется для зашифровки дайджеста сообщения, таким образом, «подписывая» его.
- Дайджест сообщения передается вместе с самим сообщением в зашифрованном виде. При идентификации подписи создается новый дайджест и сравнивается с переданным дайджестом, если они совпадают, то подпись считается подтвержденной. Если сообщение подвергнется какому-либо изменению, ему будет соответствовать другой дайджест, т.е. будет обнаружено, что сообщение было изменено.
Распознавание электронной подписи показывает, что отправителем был действительно создатель сообщения, и что сообщение впоследствии не изменялось. Следующим шагом является генерирование так называемого сессионного (временного) ключа, который представляет собой случайное число значительно меньшего размера, чем открытый и закрытый ключ (128 бит, 168 бит), что обеспечивает высокое быстродействие шифрации-дешифрации. Временный ключ генерируется автоматически с использованием строго случайных событий, в качестве источника которых используются параметры нажатий клавиш и движений мыши. Данным сессионным ключом шифруется сообщение, а сессионный ключ зашифровывается с помощью публичного ключа получателя сообщения и отправляется к получателю вместе с зашифрованным текстом (рис. 1.1). 
Рис.1.2. Процесс дешифрования сообщения
Что такое OpenPGP
Источник: studfile.net
PGP — конфиденциальность, безопасность и аутентификация для всех
Стоит ли подвергать личную переписку возможной огласке, когда существуют средства шифрования?
Santiago Pontiroli
Если вы следите за последними новостями, то слышали немало историй на тему неприкосновенности частной жизни, утечки информации, шпионажа и прочих подобных вещей. Учитывая, что большинство современных коммуникаций проходит через Интернет или при помощи электронных устройств, мы должны знать, как правильно защитить ценную нам информацию. Это применимо не только для крупных организаций, но полезно также всем, кто регулярно использует компьютеры в своей жизни. У всех нас есть информация, которую мы хотим хранить недоступной для посторонних. Но так как мы общаемся через Интернет, то в этом нам может помочь сильный, но простой в использовании инструмент интернет-коммуникации.
Приложение Pretty Good Privacy (PGP), созданное Филом Циммерманом, представляет собой компьютерную программу, которая может быть использована для защиты вашей частной жизни, которая усиливает безопасность и проверяет достоверность отправителей электронной переписки. Можно зашифровать любую электронную переписку, файлы или даже весь жесткий диск, что затруднит «прослушку» и перехват конфиденциальной информации третьими лицами. Также для переписки PGP может предложить что-то наподобие «цифровой подписи», подтверждающее достоверность отправителя (то есть гарантирующее, что отправитель является именно тем человеком, который указан в подписи) и целостность послания. Вообще, представьте себе мир, в котором исчезли бы все угрозы в повседневной переписке, фишинг бы пропал из-за огромных сложностей в осуществлении и все подобные угрозы были бы экономически невыгодны ввиду крайне сложной системы защиты.
«PGP дает людям реальную возможность держать под контролем свою частную жизнь. Это социально необходимая вещь. Поэтому я и создал PGP», — говорит Фил Циммерман.
Прошло уже 20 лет с момента создания PGP, и с тех пор система значительно прогрессировала. В то время Циммерман попал под расследование правительства США в так называемом деле о «безлицензионном оружейном экспорте». «Оружием» оказались продукты для шифрования сильнее 40 бит (а PGP была 128-битной). Хотя само дело затем было закрыто, а обвинений никому так и не предъявили, но это показывает, насколько мощным инструментом может быть шифрование информации и насколько сильно могут быть заинтересованы в содержании систем шифрования под особым надзором определенные стороны.
В конце концов полнофункциональная версия PGP стала доступной для широкого круга пользователей во всем мире. Фонд свободного программирования разработал собственную OpenPGP-совместимую программу под названием GNU Privacy Guard (GnuPG, или сокращенно GPG), которая свободно распространяется и имеет все необходимые библиотеки, используемые для шифрования, дешифрования и подписи документов и файлов. Эта система может применяться для широкого спектра задач, доступна везде и довольно проста в применении за счет использования графического интерфейса.
Учитывая, что исходный код PGP доступен для свободной загрузки, вы сможете посмотреть его, поискать возможные ошибки, проверить на наличие бэкдоров или просто изучить его работу. Даже если вы сами не в состоянии все это изучить, то для этого есть целые сообщества, не зависимые от правительства или каких-либо заинтересованных организаций. И эти сообщества регулярно проверяют целостность и безопасность PGP-кода. Это особенно актуально, если вспомнить историю о некоей службе из трех букв, которая пыталась обходить шифрование в протоколах связи.
К этому моменту вы уже явно заинтересовались и готовы хотя бы просто посмотреть, что такое PGP/GPG, и узнать, для чего это может пригодиться вам. В асимметричной криптографии нам нужно иметь два раздельных ключа, один из которых будет частным (закрытым, используемым для шифрования или подписи), а другой публичным (открытым, для шифрования первичного текста или проверки цифровой подписи). Совсем не обязательно вникать во все тонкости, но помните, что все знания и нужный опыт придут к вам в процессе ежедневного использования. Тем не менее мы рассмотрим основные понятия криптографии с публичным ключом, чтобы вы могли чувствовать себя более комфортно, осваивая новые инструменты шифрования.
Нет никаких ограничений по использованию PGP/GPG, так как инструмент доступен на всех операционных системах.
Когда мы говорим о ключе, мы имеем в виду буквенно-цифровой блок текста. Этот ключ можно экспортировать в файл или загрузить его на сервер ключей, чтобы поделиться затем им с остальным миром (это относится к открытому ключу). Данный ключ генерируется PGP, используя алгоритм асимметричного шифрования. Вы должны помнить, что публичный и частный ключи математически взаимосвязаны, что дает вам возможность поделиться открытым ключом с общественностью без ущерба собственной безопасности.
Нет никаких ограничений по использованию PGP/GPG, так как инструмент доступен на всех операционных системах. Как уже упоминалось ранее, мы имеем дело с доступной системой GNU PG, однако есть и специализированные наборы, работающие под какой-то одной операционной системой. Для Mac OS мы имеем GPG-пакет, который содержит плагин для Mail, модуль для управления всеми ключами, систему шифрования/дешифрования и цифровой подписи, проверки текстов и файлов и много чего еще. Имеется и MacGPG — инструмент для управления PGP при помощи командной строки. Если же у вас Windows, то для этой системы имеются аналогичные компоненты в пакете по имени GPGWin.
Важно помнить, что безопасность вашего ключа зависит не только от кодовой фразы, которую вы используете при создании, но и от конфиденциальности при использовании самого ключа. Если кто-то имеет доступ к вашему хранилищу ключей или ключевой фразе (либо ваш компьютер был скомпрометирован при помощи кейлоггера), то вся система безопасности может считаться бесполезной. Поэтому никогда не оставляйте ваши ключи доступными посторонним и не выбирайте секретную фразу таким образом, чтобы ее было легко подобрать.
Когда вы создаете новую пару ключей с помощью PGP, вы должны будете выбрать длину ключа и фразы, которая защитит ключ. Чем больше эта длина, тем больше времени занимает процесс генерации ключа, однако это делается всего лишь один раз, поэтому стоит потерпеть. А я вам советую выбирать длину не менее 4096 бит, а для максимальной безопасности лучше взять 8192 бита. Надеюсь, вы достаточно терпеливы, чтобы дождаться окончания процесса создания ключа, так как наша система генерации раздельна для PGP и GPG.
PGP использует пару ключей — публичный и частный. Держите частный в тайном месте и не стесняйтесь предлагать публичный всем вокруг.
Почему выбор длины ключа и кодовой фразы так важен? Ну, давайте предположим, что кто-то получил доступ к вашему хранилищу ключей и завладел копией файла секретного ключа. Если этот человек не знает ваш пароль, то ему придется заниматься перебором, что даже с учетом нынешних технических возможностей не так-то просто.
Другим вариантом взлома является подбор ключевой фразы при помощи словаря. Этот вариант является более распространенным и прямолинейным. Поэтому, делая секретный ключ достаточно долго, можно в дальнейшем отбить у злоумышленника желание взломать его.
Когда у вас появится своя собственная пара PGP-ключей, вы можете начать использовать их так: распространите публичный ключ, включите его в свою почтовую подпись, раздайте друзьям и коллегам, с которыми ведете активную переписку. Они тоже должны использовать аналогичное PGP/GPG-шифрование своих сообщений при помощи публичного ключа.
Любая третья сторона не сможет расшифровать эту переписку, даже если у нее и будет этот самый публичный ключ. Для этого потребуется ваш личный ключ. И если вы захотите отправить в ответ такое же зашифрованное послание, какое прислали вам друзья, то вам нужно будет воспользоваться их публичным ключом. Цифровая подпись работает с точностью до наоборот — она использует ваш личный ключ, в который вставляет «метку», с помощью которой получатели вашего письма могут идентифицировать вас как надежного отправителя и быть уверенными, что письмо дошло к ним в неизменном виде. Это может показаться несколько сложным, однако стоит один раз правильно настроить почтовый клиент за пару кликов мышкой:
Итак, мы узнали, как непросто начиналась система PGP, изучили основы безопасности и получили некоторые рекомендации по работе с PGP. Я надеюсь, это послужит хорошим толчком для того, чтобы попробовать это шифрование и использовать его в дальнейшем. О своей конфиденциальности в Сети мы должны заботиться сами, а с таким инструментом сделать это намного проще. Вы будете благодарить себя за то, что нашли силы и время, чтобы сделать первый шаг к личной безопасности.
Правительства и спецслужбы, равно как и преступный мир, давно уже используют такие системы в своей повседневной жизни. А что же простые пользователи? Еще недавно солидное шифрование можно было себе позволить только за большие деньги. И так было до появления на сцене PGP. Обычный человек не мог сохранить свое личное информационное пространство неприкосновенным.
Да и интересующаяся этой информацией сторона не особо хотела этого. Потребовалось 20 лет на то, чтобы этот вопрос наконец-то решился. И теперь у нас гораздо больше возможностей оставаться в неприкосновенности.
Источник: www.kaspersky.ru
Что такое PGP?
PGP (Pretty Good Privacy) — это программное обеспечение для шифрования, разработанное чтобы обеспечивать конфиденциальность, безопасность и аутентификацию систем коммуникации в режиме онлайн. Фил Циммерман создал первую PGP программу и по его словам она стала общедоступной благодаря растущему спросу на конфиденциальность.
С момента ее появления в 1991 году было создано множество версий PGP-софта. В 1997 году Фил Циммерман сделал предложение создать Internet Engineering Task Force (IETF), общепринятый стандарт для PGP с открытым исходным кодом. Предложение было принято и привело к созданию OpenPGP протокола, который определяет стандартные форматы шифрования для ключей и сообщений.
Хотя изначально PGP использовалась только для защиты электронной почты и ее вложений в настоящее время она применяется более обширно, включая цифровые подписи, полное шифрование диска и защиту сети.
Изначально PGP принадлежала компании PGP Inc, которая впоследствии была приобретена Network Associates Inc. В 2010 году Symantec Corp. выкупили PGP за 300 миллионов долларов и теперь этот термин является товарным знаком, используемым для их продуктов совместимых с OpenPGP.
Как это работает?
PGP является одной из первых широко доступных программ для реализации криптографии с открытым ключом. Это гибридная криптосистема, которая использует как симметричное, так и асимметричное шифрование для достижения высокого уровня безопасности.
В базовом процессе, шифрование текстовых данных (которые можно легко понять) преобразовывает их в шифротекст (нечитаемые данные). Но до того как начнется процесс шифрования, большинство систем PGP выполняют сжатие. Сжимая текстовые файлы PGP экономит место на диске и время их передачи, а также повышает безопасность.
После сжатия файла начинается процесс шифрования. На этом этапе сжатый текстовый файл шифруется одноразовым ключом, который называется — сеансовый ключ. Этот ключ генерируется случайным образом с использованием симметричной криптографии и каждый сеанс связи с PGP имеет свой уникальный сеансовый ключ.
Затем сеансовый ключ (1) шифруется с использованием асимметричного шифрования: предполагаемый получатель (Боб) предоставляет свой открытый ключ (2) отправителю сообщения (Алиса), чтобы она могла зашифровать сеансовый ключ. Этот шаг позволяет Алисе безопасно делиться ключом с Бобом через интернет, независимо от уровня безопасности.
Асимметричное шифрование сеансового ключа обычно выполняется с использованием алгоритма RSA. Многие другие системы шифрования используют его включая протокол защиты транспортного уровня (TLS), который обеспечивает безопасность большей части интернета.
Как только шифротекст сообщения и зашифрованный сеансовый ключ были получены, Боб может использовать свой приватный ключ (3) для расшифровки сеансового ключа, который затем используется для дешифрования зашифрованного текста.
Помимо основного процесса шифрования и дешифрования, PGP также поддерживает цифровые подписи, которые выполняют как минимум три функции:
- Аутентификация: Боб может проверить, что отправителем сообщения была Алиса;
- Целостность: Боб может быть уверен, что сообщение имеет первозданный вид;
- Безотказность: после того, как сообщение подписано цифровой подписью, Алиса не сможет утверждать, что не отправляла его.
Варианты применения
Одним из наиболее распространенных способов использования PGP является защита электронной почты. Письмо защищенное с помощью PGP превращается в строку символов, которую невозможно прочитать (зашифрованный текст) и расшифровать можно только с помощью соответствующего ключа. Для обеспечения безопасности сообщений защитный механизм практически тот же самый, также есть еще и программные приложения, которые позволяют реализовывать PGP поверх других, эффективно интегрируя систему шифрования к необеспеченным безопасностью службам обмена сообщениями.
Хоть PGP в основном и предназначена для защиты интернет-коммуникации, она также может использоваться для шифрования отдельных устройств. В таком случае программа может применяться к разделам диска на ПК или к мобильному устройству. Шифруя жесткий диск пользователь должен будет указывать пароль при каждой загрузке системы.
Преимущества и недостатки
Благодаря комбинированному использованию симметричного и асимметричного шифрования, PGP позволяет пользователям безопасно обмениваться информацией и криптографическими ключами через интернет. В качестве гибридной системы, PGP обладает преимуществами как в отношении безопасности асимметричной криптографии, так и скоростью симметричного шифрования. Помимо этих преимуществ PGP реализовывает цифровые подписи, обеспечивая целостность данных и подлинность отправителя.
Протокол OpenPGP позволил создать стандартизированную конкурентную среду и теперь PGP решения предлагаются несколькими компаниями и организациями. Тем не менее, все программы с PGP которые соответствуют стандартам OpenPGP совместимы друг с другом. Это означает, что файлы и ключи созданные в одной программе могут без проблем быть использованы в другой.
Что касается недостатков, системы PGP не так просты в использовании и понимании, особенно для пользователей со слабыми техническими навыками. Кроме того большая длина открытых ключей многими считается неудобной.
В 2018 году Electronic Frontier Foundation (EFF) опубликовала крупную уязвимость под названием EFAIL. Эта проблема позволяет хакерам использовать активный HTML-контент в зашифрованных электронных письмах для получения доступа к расшифрованной версии сообщений.
Однако некоторые проблемы описанные в EFAIL уже были известны сообществу пользователей PGP с конца 1990-х годов и по факту, уязвимость заключалась в различных реализациях со стороны почтовых клиентов, а не самого PGP. Таким образом, несмотря на тревожные и вводящие в заблуждение заголовки, PGP все еще обладает высоким уровнем безопасности.
С момента создания в 1991 году, PGP был важным инструментом для защиты данных и в настоящее время используется в большинстве приложений, обеспечивая конфиденциальность, безопасность и аутентификацию для систем связи и поставщиков цифровых услуг.
Не смотря на то что в 2018 году выявление EFAIL вызвало серьезные опасения по поводу жизнеспособности протокола, основная технология по-прежнему считается надежной и криптографически обоснованной. Стоит отметить, что разные реализации PGP могут иметь различные уровни безопасности.
Источник: academy.binance.com
OpenKeychain: Easy PGP
OpenKeychain помогает общаться более конфиденциально и безопасно. Он использует шифрование, чтобы гарантировать, что ваши сообщения могут быть прочитаны только люди, которых вы отправить их, другие могут посылать вам сообщения, что только вы можете прочитать, и эти сообщения могут быть подписаны цифровой подписью, так что люди получают их уверены, кто их послал. OpenKeychain основан на хорошо разработанной OpenPGP стандартной решений шифрования, совместимого со всех устройств и систем. Список совместимого программного обеспечения для Windows, Mac OS и других операционных систем обратитесь к http://openpgp.org/software/.
Современные шифрования на основе цифровых «ключей». OpenKeychain хранит и управляет вашими ключами, и те из людей, с которыми вы общаетесь, на вашем Android смартфоне. Это также поможет вам найти ключи других людей в Интернете, и обмена ключами. Но наиболее частое применение в использовании этих ключей для шифрования и расшифровки сообщений.
★ Интеграция с другими приложениями:
• K-9 почты
• Сеансы чата
• и многое другое .
★ Open Source: OpenKeychain разработан, чтобы быть надежным. Это свободное программное обеспечение без каких-либо секретов; любой человек может исследовать и проверять каждый бит этого (Исходный код доступен на https://github.com/open-keychain/open-keychain)
★ Аудит Independent Security: Аудиторская компания Cure53 провели интенсивный аудит безопасности OpenKeychain. Эксперты по безопасности резюмировать их окончательный результат с «[. ] ни один из пятнистых вопросов не считались критической степени тяжести с точки зрения последствий для безопасности. Последнее является значительным и впечатляющий результат для приложения этой сложности и актуальности. «
★ Права доступа: Потому что OpenKeychain свободное программное обеспечение, любой желающий может проверить, что права доступа действительно необходимы только для перечисленных функций.
• В приложении покупки: поддержка разработчиков
• Удостоверение: Имя предварительного заполнения и адреса электронной почты
• Контакты: Подключение ключи к контактам (только в автономном режиме)
• Фотографии / Медиа / Файлы: Импорт / экспорт ключи от SD-карты
• Камера: сканирование QR-коды, чтобы добавить ключи других людей
• Другие: разрешение Интернет для получения ключей, NFC разрешение на использование YubiKeys
Начиная с Android 6, разрешения запрашивается при необходимости в приложении!
Источник: play.google.com