Como usar a criptografia PGP para e-mail
As empresas que usam o e-mail como principal canal de comunicação precisam ter certeza de que as informações contidas em seus e-mails estão seguras. Com a criptografia PGP, você pode aumentar a segurança de sua correspondência por e-mail.
O que é a criptografia PGP e como ela funciona?
A criptografia PGP oferece um excelente meio de proteger informações e criptografar seus e-mails. O PGP (pretty good privacy) foi originalmente desenvolvido em 1991 por Phil Zimmermann como um programa de software para criptografar e-mails. Com o passar dos anos, o PGP se estabeleceu como o nome desse método de criptografia.
A criptografia PGP baseia-se em um protocolo de chave pública, em que um par de chaves (uma chave pública e uma chave privada) é usado para criptografar e descriptografar mensagens. A chave pública está disponível para possíveis contatos de e-mail e é transferida diretamente ou carregada em um servidor de chaves externo. Essa chave permite que seus contatos criptografem os e-mails que enviam para você. Somente você tem acesso à chave privada, que normalmente é protegida por uma senha. Ela permite que você descriptografe e-mails endereçados a você e que tenham sido criptografados com uma chave pública.
A pessoa com quem você está se comunicando também deve usar o PGP. Dessa forma, ela poderá fornecer a você acesso à chave pública dela, o que permitirá a entrada e saída de e-mails seguros de ambas as partes. O protocolo de chave pública é descrito como um procedimento assimétrico, pois as duas partes envolvidas usam chaves diferentes.
Proteger seus e-mails com o PGP pode parecer muito trabalhoso à primeira vista, mas há plug-ins que você pode usar para facilitar o processo de criptografia do PGP. Dois desses tipos de plug-ins são FlowCrypt e Mailvelope. Muitos dos principais provedores de e-mail também fornecem seus próprios plug-ins PGP que vêm com assistentes de configuração.
Para que a criptografia PGP pode ser usada?
A criptografia assimétrica, como o PGP, tem sido usada no mundo da TI há bastante tempo. Abaixo estão alguns dos casos de uso mais populares.
- Encriptação de mensagens confidenciais: a criptografia de e-mails e outros tipos de mensagens é uma das principais formas de uso do PGP.
- Encriptação de arquivos e sistemas de arquivos: Além de criptografar mensagens, o PGP também pode ser usado para criptografar arquivos armazenados em dispositivos de armazenamento local ou em um servidor.
- Assinaturas digitais: O PGP também é usado com frequência para verificar a autenticidade de uma mensagem ou arquivo. Com uma assinatura PGP, você pode determinar se uma mensagem é realmente da pessoa que a enviou. Além disso, você também pode ver se ela foi interceptada e possivelmente alterada durante o envio. As assinaturas PGP também podem ser usadas para verificar a autenticidade de arquivos (, por exemplo, programas).
Como configurar a criptografia PGP
Muitos clientes de e-mail agora vêm com um pacote de criptografia PGP que inclui instruções de configuração fáceis de seguir. Se, no entanto, o seu provedor de serviços de e-mail não tiver incluído instruções para configurar o PGP, você poderá seguir as etapas abaixo. O seguinte tutorial do PGP é uma abordagem geral para configurar a criptografia PGP.
Criptografia PGP com software
Etapa 1: Selecione e instale o software PGP apropriado
Primeiro, você precisa encontrar um software PGP que seja compatível com o seu sistema operacional e com o seu cliente de e-mail. A solução de código aberto GnuPG (GNU Privacy Guard), lançada em 1997, é uma ótima opção para os usuários do Linux. A versão 1.4 mais antiga vem pré-instalada em muitos sistemas. A versão mais recente, no entanto, pode ser baixada do site oficial do GnuPG.
Os usuários dos sistemas operacionais Windows ou OS X também podem encontrar arquivos binários no site do GnuPG. Esses arquivos podem ser usados para instalar o Gpg4win e MAC GPG, específicos do sistema, que são baseados no GnuPG.
Etapa 2: gerar um par de chaves
Depois que o programa PGP estiver instalado, um par de chaves poderá ser criado. No Linux, abra a linha de comando **** e use o comando de geração de chaves fornecido no manual do programa** **. Este exemplo é para o GnuPG:
Em seguida, selecione o tipo de criptografia que deseja usar. Você só deve alterá-lo da configuração padrão (RSA e RSA) se tiver conhecimento suficiente dos diferentes tipos de criptografia e de como eles funcionam.
Agora, digite o comprimento da chave em bits. Quanto maior o valor, mais seguras serão as chaves. No entanto, um valor mais alto também resulta em um desempenho mais lento. Os especialistas em segurança recomendam um comprimento de 4096 bits para as chaves RSA.
Em seguida, insira o período de validade das chaves e o nome e endereço de e-mail ao qual o par de chaves deve ser aplicado. Por fim, você precisa confirmar se as informações fornecidas estão corretas e selecionar uma frase secreta para a chave privada. Você precisará dessa senha posteriormente para descriptografar seus e-mails.
Se estiver usando o Windows e o mac OS X, você iniciará o processo de geração de chaves com GUIs. Independentemente do software PGP e da plataforma que estiver usando, na maioria dos casos, você será solicitado a usar entradas aleatórias do teclado ou movimentos do mouse para gerar a chave.
Etapa 3: Compartilhe a chave pública com seus contatos
Você pode gerenciar as chaves geradas no Linux por meio do terminal ou com o Seahorse (para o Gnome/Unity) ou a interface gráfica KGpg (para o KDE). O comando de linha de comando para a chave privada usando o GnuPG é:
e para a chave pública :
Além de poder ver uma lista das chaves, você também pode exportá-las diretamente . O .asc arquivo criado pode ser enviado como anexo aos seus contatos por e-mail ou carregado em um servidor de certificados. Se um contato tiver recebido sua chave pública e tiver um programa de gerenciamento de chaves, ele poderá enviar-lhe mensagens criptografadas. Para enviar e-mails criptografados para o mesmo contato, você precisará da chave pública dele.
Criptografia PGP on-line
Em vez de usar programas que você instala em seu próprio sistema, também é possível usar ferramentas PGP on-line para criar pares de chaves, criptografar seus e-mails ou descriptografar e-mails recebidos. A seguir, daremos uma olhada no serviço da Web PGP Key Generator.
O PGP Key Generator é um programa JavaScript que permite a geração de pares de chaves e pode ser executado na maioria dos navegadores da Web. É possível usar o serviço de código aberto gratuitamente e sem a necessidade de registro.
Primeiro, insira as especificações necessárias para as chaves no formulário Options . Em seguida, clique em Generate keys para iniciar o processo de geração de chaves. Quando o processo for concluído, você poderá visualizar a chave pública e sua chave privada.
Como esse serviço da Web é de código aberto, os especialistas podem visualizar o código-fonte a qualquer momento. Isso significa que eles podem avaliar continuamente o grau de segurança e confiabilidade do gerador. Entretanto, por ser um aplicativo JavaScript, também há espaço para preocupação com o crime cibernético. Se os criminosos conseguirem identificar falhas de segurança no serviço da Web, essas falhas poderão ser exploradas para atacar seu sistema e obter informações confidenciais.
Criptografia PGP para clientes de e-mail
Se você preferir se comunicar por meio de provedores de e-mail, como Gmail, Yahoo e Outlook, a extensão de navegador Mailvelope é uma boa opção para criptografia PGP. O complemento é baseado no OpenPGP.js (uma implementação em JavaScript do padrão OpenPGP) e está disponível para o Google Chrome, Microsoft Edge e Mozilla Firefox.
Depois de instalar a extensão, a barra de ferramentas do seu navegador exibirá o ícone do Mailvelope. Você pode usar o ícone para acessar a interface do usuário, onde é possível criar, importar e gerenciar suas próprias chaves, bem como as chaves públicas de seus parceiros de negócios. Também é possível fazer upload de chaves públicas para um servidor de chaves públicas.
Depois de instalar o Mailvelope, a extensão procurará automaticamente por mensagens PGP quando você acessar sua conta pelo navegador. O processo de verificação localiza e exibe elementos específicos para a criptografia e a descriptografia de e-mails PGP. Em Options, você pode ativar ou desativar a criptografia PGP para Gmail, Outlook e outros provedores de e-mail.
Criptografia PGP em dispositivos móveis
Para usar a criptografia PGP em dispositivos iOS e Android, você precisa de um cliente de e-mail que suporte o software de gerenciamento de chaves e a criptografia PGP. A seguir, veremos dois aplicativos (, um para cada sistema operacional) , que podem ser usados para salvar e gerenciar as chaves PGP dos seus contatos.
PGPro (iOS)
PGPro é um aplicativo para iOS que pode ser usado para criar, gerenciar e exportar chaves PGP. O aplicativo é de código aberto e baseado no padrão OpenPGP. Com esse aplicativo, todas as mensagens e chaves são armazenadas em seu dispositivo local.
Depois de instalar o aplicativo da App Store, você pode gerar ou importar novos pares de chaves PGP na guiaKeychain. Em Encryption, você pode usar uma chave pública para criptografar mensagens e em Decryption, você pode usar uma chave privada para descriptografar mensagens.
OpenKeychain (Android)
O OpenKeychain é uma ótima opção para usuários do Android. Esse aplicativo de código aberto também é baseado no padrão Open PGP.
Depois de instalar o aplicativo, você pode navegar até a seção Keys para visualizar, importar e gerenciar todas as suas chaves. Acesse Encrypt/Decrypt para criptografar ou descriptografar mensagens e arquivos.
Mensagens criptografadas vs. conexões criptografadas
Muitos usuários acreditam que os certificados SSL/TLS são suficientes para a criptografia de e-mail. No entanto, com esses certificados, somente o caminho de transmissão do e-mail é criptografado. Isso significa que as mensagens podem ser interceptadas por terceiros e lidas em texto simples.
Embora criptografem apenas o caminho da transmissão, os certificados SSL/TSL permitem a criptografia de elementos que não são criptografados com o PGP. Esses elementos incluem informações sobre o remetente, o destinatário e o assunto. Usar uma combinação de criptografia PGP e criptografia SSL/TSL é a solução ideal para proteger o conteúdo de seus e-mails. Mais informações sobre transmissão criptografada podem ser encontradas em nosso artigo do Guia Digital sobre criptografia de e-mails com SSL/TLS.