تشفير البريد الإلكتروني باستخدام PGP وGPG

أصدر Phil Zimmermann برنامج Pretty Good Privacy في عام 1991، فأصبح التشفير القوي متاحًا للناس العاديين لأول مرة. وقد حققت حكومة الولايات المتحدة معه بتهمة تصدير ذخائر من دون ترخيص، لأن التشفير كان مصنفًا كسلاح. وأسقطت القضية في عام 1996، وأصبح PGP علامة فارقة في تقنيات الخصوصية الشخصية.

يستخدم PGP التشفير غير المتماثل: إذ تُنشئون زوجًا من المفاتيح مترابطًا رياضيًا. ويمكن مشاركة المفتاح العام بحرية، ويستخدمه الآخرون لتشفير الرسائل الموجهة إليكم. أما المفتاح الخاص فيظل سريًا ويُستخدم لفك تشفير تلك الرسائل. ويعني فقدان مفتاحكم الخاص فقدان الوصول إلى جميع البيانات المشفّرة.

لإرسال بريد إلكتروني مشفّر إلى شخص ما، تحصل على مفتاحه العام وتستخدمه لتشفير الرسالة. ولا يمكن فك تشفيرها وقراءتها إلا بواسطة من يملك المفتاح الخاص المطابق. يستخدم PGP في الواقع تشفيرًا هجينًا: إذ يشفّر مفتاح جلسة عشوائي الرسالة باستخدام تشفير متماثل، ثم يُشفّر مفتاح الجلسة نفسه باستخدام المفتاح العام للمستلم.

يمكنك أيضًا توقيع رسالة باستخدام مفتاحك الخاص. ويتحقق المستلم من التوقيع باستخدام مفتاحك العام، مما يؤكد أنك أرسلت الرسالة وأن محتواها لم يُعدّل. التوقيع والتشفير عمليتان مستقلتان يمكن الجمع بينهما: فعادةً ما توقّع ثم تشفّر، أو تشفّر ثم توقّع، وفقًا لنموذج التهديد لديك.

لا يعتمد PGP على هيئات إصدار الشهادات. بل يستخدم شبكة ثقة يوقّع فيها الأفراد على المفاتيح العامة لبعضهم بعضًا للإقرار بأصالتها. فإذا كانت Alice تثق بـ Bob، وكان Bob قد وقّع على مفتاح Carol، فقد تثق Alice بشكل غير مباشر بمفتاح Carol. يعمل هذا النموذج جيدًا في المجتمعات التقنية، لكنه يصعب تهيئته للمستخدمين عمومًا.

إن GNU Privacy Guard، المعروف عادةً باسم GPG أو GnuPG، هو تنفيذ حر ومفتوح المصدر لمعيار OpenPGP. يعمل على Linux وmacOS وWindows، ويوفّر واجهة لسطر الأوامر ومكتبة لدمج وظائف PGP في التطبيقات. ويُعد GPG اليوم الأداة القياسية الفعلية لعمليات OpenPGP.

يرشدك تشغيل gpg --full-generate-key خلال اختيار خوارزمية وحجم مفتاح وتاريخ انتهاء الصلاحية. ويُعد Ed25519 الخيار الحديث للتوقيع، بينما يُستخدم Curve25519 للتشفير. يجب عليك تعيين عبارة مرور تحمي مفتاحك الخاص على القرص. تجمع عملية الإنشاء الإنتروبيا من نشاط النظام لضمان العشوائية.

بعد إنشاء زوج مفاتيح، تصدّر مفتاحك العام باستخدام gpg --armor --export your@email.com وتشارك كتلة النص الناتجة. ويستوردها المستلمون باستخدام gpg --import. يمكنك لصق مفتاحك العام على موقعك الإلكتروني أو في توقيع بريدك الإلكتروني أو على خادم مفاتيح. لا تشارك ملف مفتاحك الخاص مطلقًا.

تتيح خوادم المفاتيح مثل keys.openpgp.org وkeyserver.ubuntu.com للأشخاص نشر المفاتيح العامة والعثور عليها. تحمّل مفتاحك باستخدام gpg --keyserver keys.openpgp.org --send-keys YOURKEYID. ويتطلب keys.openpgp.org الحديث التحقق من البريد الإلكتروني قبل النشر، مما يقلل من مشكلة تحميل مفاتيح مزيفة لعناوين أشخاص آخرين.

لتشفير ملف، ينتج الأمر gpg --encrypt --recipient recipient@email.com --armor file.txt الملف file.txt.asc. ولفك التشفير، استخدم gpg --decrypt file.txt.asc. وبالنسبة إلى البريد الإلكتروني، تدمج أدوات مثل Thunderbird، التي تتضمن دعم OpenPGP، أو الإضافة Enigmail، وظائف GPG مباشرةً في نافذة إنشاء البريد الإلكتروني، وتتولى البحث عن المفاتيح والتشفير بشفافية.

يحمي تشفير PGP نص الرسالة، لكن حقول To وFrom وSubject والتاريخ تظل بنص واضح. وتُعد إدارة المفاتيح معقدة، إذ يجب على المستخدمين العثور على مفاتيح المستلمين والتحقق منها ومنحها الثقة. ولا يمكن لخوادم البريد الإلكتروني البحث في البريد المشفّر أو فهرسته. وقد حدّت هذه العوائق المتعلقة بسهولة الاستخدام من انتشار PGP خارج المجتمعات التقنية، رغم خصائصه الأمنية القوية.

عندما تريد إرسال بريد إلكتروني مشفّر إلى زميل باستخدام PGP، أي مفتاح تستخدم لتشفير الرسالة؟

يوفّر PGP تشفيرًا من طرف إلى طرف وتوقيعات رقمية للبريد الإلكتروني باستخدام أزواج المفاتيح العامة والخاصة. أما GPG فهو التنفيذ الحر مفتوح المصدر. وتحل شبكة الثقة محل هيئات إصدار الشهادات المركزية. ويمكن مشاركة المفاتيح العامة على خوادم المفاتيح، بينما يجب حماية المفاتيح الخاصة بعبارة مرور قوية. وتظل سهولة الاستخدام العائق الرئيسي أمام الانتشار الواسع.