E-posta için PGP ve GPG Şifrelemesi

Phil Zimmermann, Pretty Good Privacy'yi 1991'de yayımlayarak güçlü şifrelemeyi ilk kez sıradan insanların kullanımına sundu. US hükümeti, şifreleme bir silah olarak sınıflandırıldığı için onu lisanssız mühimmat ihraç etmekle ilgili soruşturdu. Dava 1996'da düşürüldü ve PGP kişisel gizlilik teknolojisinde bir dönüm noktası oldu.

PGP asimetrik şifreleme kullanır: matematiksel olarak birbirine bağlı bir anahtar çifti oluşturursunuz. Açık anahtar serbestçe paylaşılabilir ve başkaları tarafından size ileti şifrelemek için kullanılır. Özel anahtar gizli tutulur ve bu iletilerin şifresini çözmek için kullanılır. Özel anahtarınızı kaybetmeniz, şifrelenmiş tüm verilere erişiminizi kaybetmeniz anlamına gelir.

Birine şifreli e-posta göndermek için onun açık anahtarını edinir ve mesajı şifrelemek üzere bunu kullanırsınız. Yalnızca karşılık gelen özel anahtara sahip kişi mesajın şifresini çözebilir ve okuyabilir. PGP aslında hibrit şifreleme kullanır: rastgele bir oturum anahtarı, simetrik bir şifreleme algoritmasıyla mesajı şifreler; ardından oturum anahtarının kendisi alıcının açık anahtarıyla şifrelenir.

Ayrıca özel anahtarınızı kullanarak bir mesajı imzalayabilirsiniz. Alıcı, imzayı açık anahtarınızla doğrulayarak mesajı sizin gönderdiğinizi ve içeriğin değiştirilmediğini teyit eder. İmzalama ve şifreleme birbirinden bağımsız işlemlerdir ve birleştirilebilir: tehdit modelinize bağlı olarak genellikle önce imzalar, sonra şifreler ya da önce şifreler, sonra imzalarsınız.

PGP, sertifika otoritelerine dayanmaz. Bunun yerine, kişilerin birbirlerinin açık anahtarlarını anahtarların gerçekliğini doğrulamak için imzaladığı bir Güven Ağı kullanır. Alice Bob'a güveniyor ve Bob da Carol'ın anahtarını imzalamışsa, Alice Carol'ın anahtarına dolaylı olarak güvenebilir. Bu model teknik topluluklarda iyi çalışır, ancak genel kullanıcılar için başlangıçta kurulması zordur.

Genellikle GPG veya GnuPG olarak adlandırılan GNU Privacy Guard, OpenPGP standardının ücretsiz, açık kaynaklı bir uygulamasıdır. Linux, macOS ve Windows üzerinde çalışır; hem komut satırı arayüzü hem de uygulamalara PGP işlevleri eklemek için bir kütüphane sağlar. GPG, günümüzde OpenPGP işlemleri için fiilî standart araçtır.

gpg --full-generate-key komutunu çalıştırdığınızda algoritma, anahtar boyutu ve son kullanma tarihi seçme adımlarından geçersiniz. İmzalama için Ed25519, şifreleme içinse Curve25519 güncel tercihtir. Diskteki özel anahtarınızı koruyan bir parola belirlemeniz gerekir. Oluşturma süreci, rastgeleliği güvence altına almak için sistem etkinliğinden entropi toplar.

Bir anahtar çifti oluşturduktan sonra gpg --armor --export your@email.com komutuyla açık anahtarınızı dışa aktarır ve ortaya çıkan metin bloğunu paylaşırsınız. Alıcılar bunu gpg --import komutuyla içe aktarır. Açık anahtarınızı web sitenize, e-posta imzanıza veya bir anahtar sunucusuna ekleyebilirsiniz. Özel anahtar dosyanızı asla paylaşmayın.

keys.openpgp.org ve keyserver.ubuntu.com gibi anahtar sunucuları, kişilerin açık anahtarları yayımlamasına ve bulmasına olanak tanır. Anahtarınızı gpg --keyserver keys.openpgp.org --send-keys YOURKEYID komutuyla yüklersiniz. Güncel keys.openpgp.org, yayımlamadan önce e-posta doğrulaması gerektirir; bu da başkalarının adresleri için sahte anahtarların yüklenmesi sorununu azaltır.

Bir dosyayı şifrelemek için gpg --encrypt --recipient recipient@email.com --armor file.txt komutu file.txt.asc dosyasını oluşturur. Şifreyi çözmek için gpg --decrypt file.txt.asc komutunu kullanırsınız. E-posta için, yerleşik OpenPGP desteğine sahip Thunderbird gibi araçlar veya Enigmail eklentisi, GPG'yi doğrudan e-posta oluşturma penceresine entegre ederek anahtar aramayı ve şifrelemeyi kullanıcıya görünmeden yönetir.

PGP şifrelemesi mesaj gövdesini korur, ancak Kime, Kimden, Konu ve tarih alanları düz metin olarak kalır. Anahtar yönetimi karmaşıktır: kullanıcıların alıcı anahtarlarını bulması, doğrulaması ve bunlara güvenmesi gerekir. Şifreli e-postalar posta sunucuları tarafından aranamaz veya dizine eklenemez. Bu kullanılabilirlik engelleri, güçlü güvenlik özelliklerine rağmen PGP'nin teknik toplulukların dışında benimsenmesini sınırlamıştır.

PGP kullanarak bir iş arkadaşınıza şifreli e-posta göndermek istediğinizde mesajı şifrelemek için hangi anahtarı kullanırsınız?

PGP, açık-özel anahtar çiftlerini kullanarak e-posta için uçtan uca şifreleme ve dijital imzalar sağlar. GPG, ücretsiz ve açık kaynaklı uygulamadır. Güven Ağı, merkezi CA'ların yerini alır. Açık anahtarlar anahtar sunucularında paylaşılabilir; özel anahtarlar güçlü bir parolayla korunmalıdır. Kullanılabilirlik, yaygın benimsenmenin önündeki temel engel olmaya devam etmektedir.