Cos’è la crittografia PGP e come si utilizza?

Per le aziende che comunicano principalmente tramite e-mail la sicurezza è particolarmente importante, soprattutto per impedire che persone non autorizzate leggano i contenuti della posta elettronica. Di seguito ti spieghiamo come crittografare le tue e-mail con PGP.

Cos’è la crittografia PGP?¶

La crittografia PGP rappresenta un’ottima possibilità di proteggere le informazioni e di cifrare il contenuto delle tue e-mail. Inizialmente il termine PGP, abbreviazione di “Pretty good privacy” (in italiano letteralmente “una privacy piuttosto buona”), è stato usato già nel 1991 da Phil Zimmermann, che ha sviluppato un software di cifratura delle e-mail. Tuttavia, con il passare degli anni il nome si è affermato come termine generico per il metodo di crittografia usato da questo software.

La crittografia PGP si basa sull’infrastruttura a chiave pubblica (anche conosciuta come crittografia asimmetrica). Funziona mediante una coppia di chiavi, una pubblica e una privata (chiamate Key). La chiave pubblica viene messa liberamente a disposizione di potenziali contatti e-mail, trasmettendola direttamente o caricandola su un key-server esterno. Con l’aiuto di questa chiave i tuoi contatti possono decifrare tutte le e-mail che invii loro. Tu sei l’unica persona a possedere la chiave privata, la quale è in grado di decodificare le e-mail criptate con la chiave PGP pubblica. Per poter comunicare in modo sicuro con questo metodo, PGP deve essere usato anche dall’altro interlocutore, che a sua volta fornirà all’altro la sua chiave pubblica.

In passato configurare la crittografia PGP era un’operazione molto complessa. A causa dei diversi passaggi necessari, le persone meno esperte si guardavano bene dall’usare questo tipo di tecnologia. Negli anni passati, tuttavia, sono stati sviluppati plugin che hanno reso disponibile la crittografia PGP a un pubblico più ampio. Due di questi plugin sono FlowCrypt e Mailvelope. Nel frattempo, anche diversi provider di posta elettronica hanno sviluppato i propri plugin PGP e assistenti di configurazione, integrandoli nel proprio servizio e-mail.

Esempi di utilizzo della crittografia PGP¶

Le infrastrutture asimmetriche come PGP non sono nulla di nuovo nel mondo informatico e trovano impiego in diversi ambiti. Di seguito ti elenchiamo alcuni ambiti di utilizzo frequenti della crittografia PGP.

1. Crittografia di e-mail confidenziali: la crittografia delle e-mail e anche di altri tipi di messaggi è il caso d’uso più frequente di PGP.
2. Crittografia di dati e sistemi di dati: oltre alla cifratura di mezzi di comunicazione confidenziali, PGP può essere usata per crittografare file sia su dischi rigidi locali sia su server.
3. Firme digitali: PGP viene spesso impiegata anche per verificare l’integrità di un determinato messaggio o file. Con una firma PGP è possibile assicurarsi che un messaggio provenga realmente dalla persona che lo ha inviato, e che non sia stato intercettato e modificato da terzi. Allo stesso modo è possibile usare la firma digitale per verificare l’integrità di dati (ad esempio di programmi).

Tutorial: come configurare la crittografia PGP¶

Numerosi provider e-mail sono già dotati di pacchetti pronti per configurare la crittografia PGP e di solito forniscono istruzioni facilmente comprensibili, che aiutano a completare il procedimento. Qualora non sia il caso del proprio provider di posta è necessario occuparsi personalmente dei passaggi necessari. Di seguito ti presentiamo un tutorial su PGP che ti aiuterà a installare e a utilizzare correttamente la crittografia PGP.

Crittografia PGP mediante software¶

Primo passaggio: installare il software¶

Anzitutto è necessario trovare il software PGP adeguato, che deve essere compatibile sia con il sistema operativo che con il programma e-mail in uso. Gli utenti Linux hanno a disposizione la soluzione open source GnuPG (GNU Privacy Guard), disponibile fin dal 1997. La versione 1.4, leggermente più datata, è preinstallata per impostazione predefinita su numerosi sistemi, mentre è possibile scaricare la variante più nuova direttamente dal sito ufficiale.

Gli utenti dei sistemi operativi Windows e OS X troveranno anche file binari, che potranno usare per installare le soluzioni specifiche per ciascun sistema Gpg4win e Mac GPG, anch’esse basate su GnuPG.

Secondo passaggio: creare la coppia di chiavi¶

Dopo che il programma PGP è stato installato, è possibile creare una coppia di chiavi. Per fare questo, apri la riga di comando su Linux e usa il relativo comando che potrai trovare sui manuali del programma in uso. Per GnuPG il comando è ad esempio:

sudo gpg --gen-key

Successivamente seleziona il tipo di crittografia, anche se ti consigliamo di distaccarti dalle impostazioni standard (“RSA e RSA”) solo se disponi di conoscenze necessarie. Quindi digita la lunghezza della chiave in bit. Quanto più elevato il valore, più sicure sono le chiavi, ma più lenta è la loro performance. Segue la richiesta di inserire la durata della validità della chiave e infine il nome e indirizzo e-mail per il quale deve valere la coppia di chiavi. Infine, stabilisci una password per la tua chiave privata di cui avrai bisogno in un secondo momento per criptare e decriptare i messaggi di posta elettronica.

In Windows e Mac OS X, la generazione delle chiavi avviene tramite programmi grafici. Indipendentemente dal software PGP e dalla piattaforma, ti verrà spesso chiesto di generare la chiave premendo determinati tasti sulla tastiera o tramite alcuni movimenti del mouse.

Terzo passaggio: condividere la chiave pubblica con i propri contatti¶

La chiave PGP creata può essere gestita su Linux mediante il terminale o con l’aiuto del programma grafico Seahorse (per Gnome/Unity) o KGpg (per KDE). I comandi GnuPG digitati sulla riga di comando, presentati in questo tutorial su PGP, per le chiavi private sono ad esempio:

sudo gpg --list-secret-keys
sudo -K

nonché la lista di tutte le chiavi pubbliche generate:

sudo gpg --list-keys
sudo -K

Qui puoi visualizzare ed esportare direttamente le chiavi elencate. Il file .asc che ne deriva può essere trasmesso infine ai propri contatti o al server certificato. Se un contatto ha ricevuto la tua chiave pubblica e dispone di un programma di gestione delle chiavi, può inviarti e-mail crittografate che potrai decriptare e leggere. Se anche tu desideri inviare e-mail crittografate a questo contatto, avrai bisogno della sua chiave pubblica.

Crittografia PGP online¶

Invece di installare un programma sul proprio sistema operativo, è possibile anche servirsi di strumenti PGP online, per creare coppie di chiavi e criptare o decriptare messaggi con PGP. A titolo di esempio ti presentiamo il servizio web PGP Key Generator che consente sia di generare coppie di chiavi che di criptare o decriptare messaggi di posta elettronica.

Lo strumento PGP Key Generator è un programma JavaScript che può essere eseguito nei normali browser web e consente di generare una coppia di chiavi. Il servizio open source è gratuito e disponibile senza dover effettuare alcuna iscrizione.

Il primo passaggio consiste nel compilare il modulo secondo le specifiche desiderate per le chiavi. Facendo clic su “Generate Keys” è possibile avviare la generazione di chiavi, dopodiché è possibile visualizzare le chiavi generate.

Poiché questo provider web è open source, gli esperti e le esperte possono visualizzare in qualsiasi momento il codice sorgente. In tal modo è possibile verificare se il generatore è effettivamente sicuro e affidabile. Come con tutte le applicazioni Java-Script, i criminali possono trovare delle falle di sicurezza nel servizio web e le possono usare per attaccare il sistema ed entrare in possesso di dati sensibili.

Crittografia PGP per servizi di webmail¶

Chi comunica principalmente mediante servizi di webmail come Gmail, Yahoo, GMX o Outlook.com, può usare Mailvelope. Questa si basa su Open PGP.js ed è disponibile per Google Chrome, Microsoft Edge e Mozilla Firefox. Non appena installato il componente aggiuntivo, sulla barra delle applicazioni del browser apparirà l’icona Mailvelope, dalla quale è possibile richiamare l’interfaccia utente. Da qui puoi creare, importare e gestire le tue chiavi nonché le chiavi pubbliche degli interlocutori o caricare le chiavi pubbliche create su un server di chiavi pubbliche.

Dopo aver installato Mailvelope e aver aperto la casella di posta elettronica nel browser il componente aggiuntivo la scansiona alla ricerca di messaggi con PGP. In tal modo può mostrare elementi specifici per la crittografia o la decodifica di un’e-mail. Nelle opzioni è possibile attivare o disattivare la crittografia PGP per Gmail, Outlook e gli altri servizi.

Crittografia PGP sui dispositivi mobili¶

Per poter usare la crittografia PGP sui dispositivi iOS e Android è necessario un client di posta elettronica in grado di supportare questo tipo di cifratura, nonché un software per la gestione delle chiavi. Abbiamo selezionato un’app per la gestione delle chiavi per iOS e Android, per salvare e gestire la chiave PGP dei propri contatti.

PGPro per iOS¶

PGPro è un’app iOS mediante la quale è possibile creare, gestire ed esportare chiavi PGP. Questa app è open source e si basa sullo standard openPGP. Inoltre, tutti i messaggi e le chiavi generate vengono salvati solo in locale sul dispositivo.

Dopo aver installato l’applicazione dall’App Store di Apple, è possibile generare o importare nuove coppie di chiavi PGP nella scheda “Keychain”. Alle voci “Encryption” e “Decryption” è possibile crittografare i messaggi con una chiave pubblica o decriptarli con una chiave privata.

OpenKeychain: Easy PGP per Android¶

Per gli utenti Android consigliamo l’uso di “Openchain: Easy PGP”, un’app open-source e basata sullo standard OpenPGP.

Dopo aver installato l’applicazione è possibile vedere, importare e gestire alla voce “Keys” chiavi pubbliche e private. Nel menu “Encrypt/Decrypt” è possibile criptare/decriptare file e messaggi.

Contenuti criptati e connessioni criptate¶

Numerosi utenti credono che la comunicazione per e-mail con i propri contatti sia già criptata con il solo uso di certificati SSL ovvero TLS. Questo però è vero solo in parte, poiché utilizzando i certificati SSL/TLS, viene codificato solamente il percorso di trasmissione dei messaggi elettronici tra i server di posta. Lo svantaggio è che le notizie possono essere intercettate e lette in chiaro da terzi quando vengono caricate sul server.

Inoltre, al contrario di PGP, il protocollo SSL/TLS non firma l’e-mail e quindi non ne garantisce l’autenticità. Infine, i certificati SSL/TLS consentono lacrittografia delle varie componenti e-mail che restano in chiaro anche con PGP, ad esempio informazioni relative al mittente, al destinatario o all’oggetto dell’e-mail.

Una combinazione di crittografia PGP e SSL/TLS è quindi la soluzione ottimale per proteggere i contenuti delle e-mail. Ulteriori informazioni sulla trasmissione criptata sono disponibili sulla nostra guida “Come criptare le e-mail con SSL/TLS”.