Pretty Good Privacy

Voor het artikel over geprefereerde voornaamwoorden, afgekort PGP, zie geprefereerd voornaamwoord.

Pretty Good Privacy (letterlijk: behoorlijk goede privacy) wordt meestal afgekort tot PGP en is een software programma of een manier van versleutelen van digitale berichten. Deze standaard (RFC 4880) die wordt OpenPGP genoemd. PGP wordt gebruikt voor encryptie, digitaal ondertekenen of beide. Er zijn tegenwoordig vele programma's, zowel commercieel als open source, die deze standaard implementeren en ook grotendeels onderling compatibel zijn.

OpenPGP-cryptografie is gebaseerd op een schema van asymmetrische cryptografie, oorspronkelijk op het RSA algoritme. Dit houdt in dat er twee verschillende sleutels zijn, een publieke en een private sleutel. De publieke sleutel wordt gedeeld met anderen en wordt gebruikt om data mee te versleutelen. De private sleutel wordt geheim gehouden en nooit gedeeld, deze sleutel wordt gebruikt voor decryptie en het digitaal ondertekenen.

Er zijn vele OpenPGP-servers die van duizenden mensen de publieke sleutel opgeslagen hebben. Met die sleutel en een OpenPGP-programma kan men een vertrouwelijk bericht sturen naar een van de personen die op die server hun publieke sleutel op hebben laten slaan. Daarnaast is het ook mogelijk om sleutels als tekst te exporteren en te importeren zodat deze bijvoorbeeld op de website van de eigenaar geplaatst kan worden.

Hoewel dit principe erg veilig is, is het wel zaak te bedenken welke garantie er geboden wordt: iemand heeft een sleutel gemaakt en tekent daar berichten mee of laat mensen daar berichten mee versleutelen. Dit betekent dus niet automatisch dat deze sleutel toebehoort aan de persoon aan wie wij denken dat hij behoort. Om deze reden kennen veel OpenPGP-implementaties publieke sleutels een vertrouwenswaarde toe, die door de gebruiker gewijzigd kan worden nadat deze via een betrouwbaar kanaal (telefoon, ontmoeting) geverifieerd heeft dat de sleutel inderdaad van de vermoede persoon afkomstig is.

implementaties

GPG, ook wel GnuPG, is een gratis en open-source implementatie die werkt met OpenPGP specificatie. GPG is beschikbaar voor verschillende besturingssystemen zoals Linux, Windows, MacOS en Android. Tevens zijn er plugins beschikbaar voor Microsoft Outlook, Mozilla Thunderbird, Apple Mail, Eudora en veel andere mailprogramma's zoals Gpg4win en GPG Suite.

Voor Linux desktop omgevingen is een GPG-client beschikbaar genaamd Seahorse voor het beheer van de sleutels.

Mailvelope is een gratis open-source OpenPGP oplossing die bekend staat om het gebruiksgemak. Mailvelope integreert met browsers als Chrome en Firefox en werkt met bekende webmail diensten zoals Google Gmail, Yahoo mail, outlook.com en GMX.

Werking van PGP

Wat is PGP (Pretty Good Privacy)?

Als een gebruiker een stuk tekst wil versleutelen met PGP, dan comprimeert PGP de tekst meestal eerst. Hierdoor wordt zowel de plaats die het bestand inneemt op de harde schijf verminderd als de tijd die nodig is om het te versturen.

Dan maakt PGP een IDEA-sessiesleutel aan, een sleutel die gegenereerd wordt door de willekeurige bewegingen van je muis en de toetsen die je aanslaat. Met deze sessiesleutel wordt de tekst vercijferd. De sessiesleutel zelf wordt met de publieke sleutel van de beoogde ontvanger versleuteld, waarna beide delen verstuurd worden.

Decryptie werkt precies andersom. De ontvanger gebruikt zijn of haar geheime sleutel om de versleutelde sessiesleutel te ontcijferen. Daarna ontcijfert PGP met behulp van de sessiesleutel de ontvangen tekst.

Sleutels

Een sleutel is een waarde waarmee je cryptografisch algoritme een tekst versleutelt. Het is in principe een erg groot getal, waarvan de lengte gemeten wordt in bits. Uitgaande van een goed cryptografisch algoritme geldt: hoe langer de sleutel, hoe veiliger de versleuteling.

Hoewel de publieke en de geheime sleutel wiskundig aan elkaar gerelateerd zijn, is het erg lastig om de geheime sleutel af te leiden wanneer men alleen de publieke sleutel weet. Het is in theorie voor iemand die genoeg tijd en rekenkracht tot zijn beschikking heeft mogelijk om deze afleiding te maken. In de praktijk kan dit echter alleen bij (erg) kleine sleutels. Bij grotere sleutels is de rekenkracht van de huidige computers niet voldoende om de afleiding binnen een bruikbare tijd te maken. De keuze van de lengte van de sleutel is dus een afweging tussen veiligheid enerzijds en gebruikssnelheid anderzijds, waarbij het optimum afhangt van de waarschijnlijkheid dat iemand de betreffende boodschap zou willen kraken.

Sleutels worden versleuteld opgeslagen. PGP slaat de sleutels in twee bestanden op; één voor de publieke sleutels en één voor de geheime sleutels. Deze bestanden worden sleutelringen genoemd. Wanneer je PGP gebruikt, zul je in het algemeen de publieke sleutels van jouw ontvangers toevoegen aan jouw publieke sleutelring. Jouw geheime sleutels worden opgeslagen in jouw geheime sleutelring. Wanneer je deze ring kwijtraakt, kun je geen data meer ontcijferen waarvoor je deze sleutels nodig hebt.

Digitale handtekeningen

Wanneer een gebruiker een bericht wil voorzien van een digitale handtekening, dan voegt hij of zij een met zijn of haar geheime sleutel versleutelde tekst toe aan het bericht. Hierdoor kan een ontvanger controleren of het bericht echt afkomstig is van de verzender door het te ontcijferen met de publieke sleutel van de verzender.

Een groot voordeel van publieke-sleutelcryptografie is dat het zorgt voor een systeem waarmee digitale handtekeningen kunnen worden gebruikt. Hierdoor kan een ontvanger zowel verifiëren of het bericht echt van de verwachte verzender afkomt (authenticiteit) als controleren of de data nog intact is (data-integriteit). Daarnaast zorgt het er ook voor dat een verzender niet kan ontkennen dat hij of zij een bericht gestuurd heeft (non-repudiation).

Forensisch onderzoek

In 2016 bleek de Nederlandse recherche in staat PGP-berichten te omzeilen van criminelen die zogenaamde PGP-telefoons gebruikten. Dit betrof Blackberry telefoons, die communiceren met een centrale Blackberry server in Canada. Rechercheurs wisten de hand te leggen op de server van het Nederlandse bedrijf Ennetcom, verkoper van PGP-telefoons. Deze doorbraak werd bekendgemaakt door de landelijk officier van justitie cybercrime. Misbruik van PGP-encryptie zou bij diverse strafbare feiten een rol hebben gespeeld, onder meer zelfs bij het beramen van (huur-)moorden.

Zie ook

• GPG (Alternatieve opensource versie die niet gepatenteerd is)
• RSA
• Enigmail (OpenPGP in Mozilla Thunderbird)

Externe links

• GnuPG: een open source-implementatie van OpenPGP
• WinPT: een windowsprogramma om GnuPG makkelijker te gebruiken
• Een aantal redenen waarom Phil Zimmermann PGP schreef