Révision de Crittografia dei messaggi di posta elettronica du lun, 10/29/2012 - 12:16

Questo manuale vi mostrerà come firmare e crittografare le email usando GNU Privacy Guard. Tuttavia, questo non è l'unico metodo per usare GNU Privacy Guard, perciò chi sia interessato può prendere in considerazione delle vie alternative.

Software richiesto

• GNU Privacy Guard - Questo pacchetto è preinstallato in Trisquel e sarà indicato come GPG per il resto del manuale
• Mozilla Thunderbird - Questo pacchetto può essere installato tramite il gestore dei pacchetti. Si tratta di un pacchetto opzionale ma rende il tutto più semplice.
• Enigmail - Anche questo è un pacchetto facoltativo utile a semplificare il processo di crittografia.

GNU Privacy Guard

La documentazione di GPG può essere trovata qui

GNU Privacy Guard (GPG) è un'implementazione libera di OpenPGP. Sarà il programma principale per la manipolazione della crittografia, della decrittografia, e della firma dei messaggi.

Mozilla Thunderbird

Mozilla Thunderbird è il client email che verrà utilizzato in questo manuale per impostare la crittografia email. Possono essere usati anche client alternativi.

Enigmail

La documentazione di Enigmail può essere trovata qui (in inglese)

Enigmail è un'estensione libera e un'interfaccia per GPG. Permette all'utente di usare GPG con Thunderbird.

Terminologia

Because the topic of complete GPG use is beyond the scope of this manual for further information it is recommended to check the GPG documentation for further information. However, some basic terminology must be explained.

• Mallory - A hypothetical enemy who is out to get you. This may be a jealous former lover, the government, a nosey IT admin, or anyone else after you.
• Plaintext - a message in an unencrypted form such as "Attack Pearl Harbor December 7"
• Testo cifrato - text that has been encrypted and appears as "garbage" without the proper means to decrypt it
• Crittografia asimmetrica - a form of cryptography in which a different matching key is used to decrypt a message then was originally used to encrypt it (or vice versa).
• Chiave privata - One half of a the key pair used in asymmetric cryptography. This key consists of a file on your hard drive and is combined with a passphrase. It is extremely important to keep this key to yourself and not share it with others.
• Chiave pubblica This is the other half of the key pair which may be published any way the user likes.
• Signing - is a form of authentication. This allows a user to confirm that a message received came from the corresponding key and the message has not been tampered with. This is NOT the same as encryption.
• Keysigning - Signing another users public key and verifying that you have confirmed their identity. The method and requirements of identity verification differ depending on users. Usually one or two government issued forms of identification will suffice (e.g. drivers license or passport). Never sign someones key whose identity you have not personally verified in person. By signing someones key you are putting your reputation on their key that you have verified their identity.
• Trust - The confidence level assigned to another user's ability to verify identity.
• Web of trust - A network based on that trust. For example, Alice trusts Bob fully because Bob always verifies identities when signing keys. If Alice then receives a key for Jane but isn't able to verify Jane's key herself but Bob has she will then choose to trust Jane's identity.

Creare la prima coppia di chiavi

• Nel menu di OpenPGP seleziona "Setup Wizard"

• Fare clic su Avanti

• Questa domande chiede se si desidera firmare digitalmente tutti i messaggi. Alcune persone senza funzionalità GPG possono trovarlo fastidioso. Questa scelta sta a voi.

• Si raccomanda di non crittografare tutti i messaggi di default ma solo quelli rivolti a specifici destinatari.

• Qui si possono modificare alcune impostazioni avanzate di Enigmail.

• Ora bisogna inserire una "passphrase" usata per completare la tua chiave privata (una chiave privata è una passphrase + un file). In secondo luogo, il nome sulla propria chiave privata è il nome sul tuo account email (nelle informazioni dell'account). Si raccomanda di usare il tuo nome completo reale corrispondente ai tuoi documenti legali (es. patente di guida o passaporto) altrimenti altri utenti potrebbero rifiutarsi di firmare la vostra chiave.

• Fare clic su Avanti

• Questo processo usa dati casuali (es. i movimenti del mouse) per generare le chiavi. Questo processo può richiedere alcuni minuti. Basta usare il computer come faresti normalmente.

• Questa opzione chiede se si desidera creare un certificato di revoca. È raccomandata nel caso la tua chiave privata diventa inutilizzabile o compromessa per qualsiasi motivo.

• Selezionare la directory in cui salvare.

• Seguire il consiglio di questo avviso, e conservare una copia del certificato di revoca E la chiave privata in un luogo sicuro su qualche supporto portatile (es. chiavetta USB o CD)

Usare le chiavi pubbliche degli altri utenti

Ottenere altri utenti

Il primo passo è ottenere la chiave pubblica di un altro utente. Ciò permetterà di criptare email (e altre cose come i file) per loro. Questo può essere ottenuto in molti modi tra cui:

• Allegare chiavi pubbliche a email
• Copia tramite supporti fisici
• Server delle chiavi

Utilizzare un keyserver

Se un contatto ha caricato la propria chiave pubblica in un keyserver può essere un modo comodo per recuperarla. It should be noted that it is considered poor etiquette to upload another person's key to a keyserver.

• Aprire la schermata di gestione delle chiavi dal menu di OpenPGP

• Cerca per le chiavi

• Digitare il nome che corrisponde alla chiave pubblica che si sta cercando. Nella maggior parte dei casi diversi key server sono sincronizzati tra loro perciò normalmente il keyserver di default dovrebbe essere sufficiente.

• Scarica la chiave pubblica di vostra scelta

• Crittografare l'email selezionando crittografare quando si scrive un messaggio.

• Quando la mail viene inviata verrà crittografata con la chiave pubblica degli utenti.

Note aggiuntive

• GPG può essere integrato in altri client di posta come KMail ed Evolution
• GPG può anche essere usato per cifrare file.
• I soggetti delle email non sono cifrate. Se un messaggio contiene informazioni riservate sarebbe meglio non etichettarlo con soggetti evidenti come "Top Secret".
• Le regole-per-destinatario possono essere create sulle opzioni per esperti di Enigmail. Queste regole consentono di definire automaticamente degli insiemi di regole sulla base delle vostre chiavi pubbliche. Ciò permette di firmare o crittografare basandosi su queste regole semplificando il processo.