ईमेल के लिए PGP और GPG एन्क्रिप्शन

Phil Zimmermann ने 1991 में प्रिटी गुड प्राइवेसी जारी की, जिससे पहली बार आम लोगों के लिए मजबूत कूटबद्धता उपलब्ध हुई। US सरकार ने शुरू में बिना लाइसेंस के आयुध निर्यात करने के आरोप में उनकी जाँच की, क्योंकि कूटबद्धता को हथियार माना जाता था। मामला 1996 में बंद कर दिया गया और PGP व्यक्तिगत गोपनीयता तकनीक में एक मील का पत्थर बन गया।

PGP में असममित क्रिप्टोग्राफ़ी का उपयोग होता है: आप गणितीय रूप से संबद्ध कुंजियों की एक जोड़ी बनाते हैं। सार्वजनिक कुंजी स्वतंत्र रूप से साझा की जा सकती है और अन्य लोग इसका उपयोग आपको संदेश कूटबद्ध करके भेजने के लिए करते हैं। निजी कुंजी गुप्त रखी जाती है और उन संदेशों को विकूटित करने के लिए उपयोग होती है। अपनी निजी कुंजी खोने का अर्थ है सभी कूटबद्ध डेटा तक पहुँच खो देना।

किसी व्यक्ति को कूटबद्ध ईमेल भेजने के लिए, आप उसकी सार्वजनिक कुंजी प्राप्त करके उसका उपयोग संदेश को कूटबद्ध करने के लिए करते हैं। केवल संबंधित निजी कुंजी रखने वाला व्यक्ति ही उसे कूटमुक्त करके पढ़ सकता है। PGP वास्तव में संकर कूटलेखन का उपयोग करता है: एक यादृच्छिक सत्र कुंजी सममित कूटलेख से संदेश को कूटबद्ध करती है और फिर स्वयं सत्र कुंजी को प्राप्तकर्ता की सार्वजनिक कुंजी से कूटबद्ध किया जाता है।

आप अपनी निजी कुंजी का उपयोग करके किसी संदेश पर हस्ताक्षर भी कर सकते हैं। प्राप्तकर्ता आपकी सार्वजनिक कुंजी से हस्ताक्षर का सत्यापन करके यह पुष्टि करता है कि संदेश आपने भेजा है और उसकी सामग्री में कोई बदलाव नहीं किया गया है। हस्ताक्षर करना और कूटबद्ध करना स्वतंत्र क्रियाएँ हैं, जिन्हें साथ में किया जा सकता है: आपके जोखिम-प्रतिरूप के आधार पर आप सामान्यतः पहले हस्ताक्षर करके फिर कूटबद्ध करते हैं, या पहले कूटबद्ध करके फिर हस्ताक्षर करते हैं।

PGP प्रमाणपत्र प्राधिकरणों पर निर्भर नहीं करता। इसके बजाय, यह विश्वास-जाल का उपयोग करता है, जिसमें लोग एक-दूसरे की सार्वजनिक कुंजियों पर हस्ताक्षर करके उनकी प्रामाणिकता की पुष्टि करते हैं। यदि ऐलिस को बॉब पर भरोसा है और बॉब ने कैरल की कुंजी पर हस्ताक्षर किया है, तो ऐलिस को कैरल की कुंजी पर अप्रत्यक्ष भरोसा हो सकता है। यह प्रतिरूप तकनीकी समुदायों में अच्छी तरह काम करता है, लेकिन सामान्य उपयोगकर्ताओं के लिए इसकी शुरुआत करना कठिन है।

GNU Privacy Guard, जिसे सामान्यतः GPG या GnuPG कहा जाता है, OpenPGP मानक का एक मुक्त, खुले-स्रोत वाला कार्यान्वयन है। यह Linux, macOS और Windows पर चलता है तथा अनुप्रयोगों में PGP की कार्यक्षमता जोड़ने के लिए आदेश-पंक्ति अंतराफलक और एक पुस्तकालय, दोनों उपलब्ध कराता है। आज OpenPGP संबंधी कार्यों के लिए GPG वास्तविक मानक उपकरण है।

gpg --full-generate-key चलाने पर आपको कलनविधि, कुंजी आकार और समाप्ति तिथि चुनने की प्रक्रिया से क्रमशः गुज़ारा जाता है। हस्ताक्षर करने के लिए Ed25519 और कूटलेखन के लिए Curve25519 आधुनिक विकल्प हैं। आपको ऐसा गुप्त वाक्यांश निर्धारित करना होगा जो डिस्क पर आपकी निजी कुंजी की सुरक्षा करे। कुंजी बनाने की प्रक्रिया यादृच्छिकता सुनिश्चित करने के लिए प्रणाली की गतिविधि से एंट्रॉपी एकत्र करती है।

कुंजी-युग्म बनाने के बाद, आप gpg --armor --export your@email.com से अपनी सार्वजनिक कुंजी निर्यात करके प्राप्त पाठ-खंड साझा करते हैं। प्राप्तकर्ता इसे gpg --import से आयात करते हैं। आप अपनी सार्वजनिक कुंजी अपनी वेबसाइट, ईमेल हस्ताक्षर या किसी कुंजी सर्वर पर चिपका सकते हैं। अपनी निजी कुंजी वाली फ़ाइल कभी साझा न करें।

keys.openpgp.org और keyserver.ubuntu.com जैसे कुंजी सर्वर लोगों को सार्वजनिक कुंजियाँ प्रकाशित करने और खोजने की सुविधा देते हैं। आप gpg --keyserver keys.openpgp.org --send-keys YOURKEYID से अपनी कुंजी अपलोड करते हैं। आधुनिक keys.openpgp.org पर प्रकाशित करने से पहले ईमेल सत्यापन आवश्यक होता है, जिससे दूसरे लोगों के पतों के नाम पर नकली कुंजियाँ अपलोड किए जाने की समस्या कम होती है।

किसी फ़ाइल को कूटबद्ध करने के लिए: gpg --encrypt --recipient recipient@email.com --armor file.txt चलाने पर file.txt.asc बनती है। कूटमुक्त करने के लिए: gpg --decrypt file.txt.asc चलाएँ। ईमेल के लिए, अंतर्निहित OpenPGP समर्थन वाले Thunderbird जैसे उपकरण या Enigmail सहायक मॉड्यूल, GPG को सीधे ईमेल लिखने वाली विंडो में जोड़ देते हैं और कुंजी खोजने तथा कूटलेखन का काम पारदर्शी रूप से संभालते हैं।

PGP कूटलेखन संदेश के मुख्य भाग की सुरक्षा करता है, लेकिन प्रति, प्रेषक, विषय और दिनांक क्षेत्र सादे पाठ में बने रहते हैं। कुंजी प्रबंधन जटिल है: उपयोगकर्ताओं को प्राप्तकर्ता की कुंजियाँ ढूँढ़नी, सत्यापित करनी और उन पर भरोसा करना पड़ता है। ईमेल सर्वर कूटबद्ध ईमेल को खोज या अनुक्रमित नहीं कर सकते। इन उपयोग-सुगमता संबंधी बाधाओं के कारण, इसकी मज़बूत सुरक्षा विशेषताओं के बावजूद तकनीकी समुदायों के बाहर PGP का अपनाया जाना सीमित रहा है।

PGP सार्वजनिक-निजी कुंजी-युग्मों का उपयोग करके ईमेल के लिए सिरे-से-सिरे कूटलेखन और डिजिटल हस्ताक्षर उपलब्ध कराता है। GPG इसका मुक्त, खुले-स्रोत वाला कार्यान्वयन है। विश्वास-जाल केंद्रीकृत CA का स्थान लेता है। सार्वजनिक कुंजियाँ कुंजी सर्वर पर साझा की जा सकती हैं, जबकि निजी कुंजियों को मज़बूत गुप्त वाक्यांश से सुरक्षित रखना आवश्यक है। व्यापक रूप से अपनाए जाने में उपयोग-सुगमता अब भी मुख्य बाधा है।