Enkripsi Email dengan PGP dan GPG

Phil Zimmermann merilis Pretty Good Privacy pada tahun 1991, sehingga enkripsi kuat tersedia untuk masyarakat umum untuk pertama kalinya. Pemerintah US awalnya menyelidikinya karena mengekspor amunisi tanpa izin, sebab enkripsi diklasifikasikan sebagai senjata. Kasus tersebut dihentikan pada tahun 1996, dan PGP menjadi tonggak penting dalam teknologi privasi pribadi.

PGP menggunakan kriptografi asimetris: Anda membuat pasangan kunci yang saling terhubung secara matematis. Kunci publik dapat dibagikan secara bebas dan digunakan orang lain untuk mengenkripsi pesan yang ditujukan kepada Anda. Kunci privat disimpan secara rahasia dan digunakan untuk mendekripsi pesan tersebut. Kehilangan kunci privat berarti kehilangan akses ke semua data terenkripsi.

Untuk mengirim surel terenkripsi kepada seseorang, Anda memperoleh kunci publiknya dan menggunakannya untuk mengenkripsi pesan. Hanya pemegang kunci privat yang sesuai yang dapat mendekripsi dan membacanya. PGP sebenarnya menggunakan enkripsi hibrida: kunci sesi acak mengenkripsi pesan dengan sandi simetris, kemudian kunci sesi itu sendiri dienkripsi dengan kunci publik penerima.

Anda juga dapat menandatangani pesan menggunakan kunci privat Anda. Penerima memverifikasi tanda tangan tersebut dengan kunci publik Anda, sehingga mengonfirmasi bahwa Anda yang mengirimkannya dan bahwa isinya tidak diubah. Penandatanganan dan enkripsi adalah operasi yang terpisah dan dapat digabungkan: biasanya Anda menandatangani lalu mengenkripsi, atau mengenkripsi lalu menandatangani, bergantung pada model ancaman Anda.

PGP tidak bergantung pada otoritas sertifikat. Sebagai gantinya, PGP menggunakan Web Kepercayaan, tempat setiap individu menandatangani kunci publik orang lain untuk menjamin keasliannya. Jika Alice mempercayai Bob dan Bob telah menandatangani kunci Carol, Alice dapat memiliki kepercayaan tidak langsung terhadap kunci Carol. Model ini bekerja dengan baik dalam komunitas teknis, tetapi sulit diterapkan dari awal bagi pengguna umum.

GNU Privacy Guard, yang umum disebut GPG atau GnuPG, adalah implementasi sumber terbuka gratis dari standar OpenPGP. GPG berjalan di Linux, macOS, dan Windows serta menyediakan antarmuka baris perintah dan pustaka untuk mengintegrasikan fungsi PGP ke dalam aplikasi. Saat ini, GPG merupakan alat standar de facto untuk operasi OpenPGP.

Menjalankan gpg --full-generate-key akan memandu Anda memilih algoritme, ukuran kunci, dan tanggal kedaluwarsa. Ed25519 adalah pilihan modern untuk penandatanganan, sedangkan Curve25519 untuk enkripsi. Anda harus menetapkan frasa sandi yang melindungi kunci privat Anda di penyimpanan. Proses pembuatan mengumpulkan entropi dari aktivitas sistem untuk memastikan keacakan.

Setelah membuat pasangan kunci, Anda mengekspor kunci publik dengan gpg --armor --export your@email.com lalu membagikan blok teks yang dihasilkan. Penerima mengimpornya dengan gpg --import. Anda dapat menempelkan kunci publik di situs web, tanda tangan surel, atau server kunci. Jangan pernah membagikan berkas kunci privat Anda.

Server kunci seperti keys.openpgp.org dan keyserver.ubuntu.com memungkinkan orang menerbitkan dan menemukan kunci publik. Anda mengunggah kunci dengan gpg --keyserver keys.openpgp.org --send-keys YOURKEYID. keys.openpgp.org versi modern memerlukan verifikasi surel sebelum penerbitan, sehingga mengurangi masalah pengunggahan kunci palsu untuk alamat surel orang lain.

Untuk mengenkripsi berkas: gpg --encrypt --recipient recipient@email.com --armor file.txt menghasilkan file.txt.asc. Untuk mendekripsinya: gpg --decrypt file.txt.asc. Untuk surel, alat seperti Thunderbird dengan dukungan OpenPGP bawaan atau pengaya Enigmail mengintegrasikan GPG langsung ke jendela penulisan surel, serta menangani pencarian kunci dan enkripsi secara transparan.

Enkripsi PGP melindungi isi pesan, tetapi kolom Kepada, Dari, Subjek, dan tanggal tetap dalam teks biasa. Pengelolaan kunci itu rumit: pengguna harus menemukan, memverifikasi, dan mempercayai kunci penerima. Surel terenkripsi tidak dapat dicari atau diindeks oleh server surel. Hambatan kemudahan penggunaan ini membatasi penerapan PGP di luar komunitas teknis, meskipun keamanan yang diberikannya kuat.

Jika Anda ingin mengirim surel terenkripsi kepada kolega menggunakan PGP, kunci mana yang Anda gunakan untuk mengenkripsi pesan?

PGP menyediakan enkripsi ujung ke ujung dan tanda tangan digital untuk surel menggunakan pasangan kunci publik-privat. GPG adalah implementasi sumber terbuka gratisnya. Web Kepercayaan menggantikan CA terpusat. Kunci publik dapat dibagikan di server kunci, sedangkan kunci privat harus dilindungi dengan frasa sandi yang kuat. Kemudahan penggunaan tetap menjadi hambatan utama bagi penerapan secara luas.