Στο διαδίκτυο η επικρατέστερη πρακτική κρυπτογράφησης είναι η κρυπτογράφηση σύνδεσης (connection’s encryption). Καθημερινά χρησιμοποιούμε τέτοια κρυπτογράφηση όταν επισκεπτόμαστε websites με HTTPS ή όταν διαβάζουμε τα email μας με SSL/TLS/STARTTLS και άλλα. Η κρυπτογράφηση αυτή προσφέρει εμπιστευτικότητα των δεδομένων ανάμεσα στον client (τον υπολογιστή του χρήστη) και τον server. Με τον τρόπο αυτό, οποιοσδήποτε ενδιάμεσος κόμβος ανάμεσα στον χρήστη και τον server, δεν μπορεί να διαβάσει τα δεδομένα της σύνδεσης.
Όταν δύο χρήστες θέλουν να επικοινωνήσουν κρυπτογραφημένα, τα πράγματα διαφοροποιούνται. Αν αρκεστούν για παράδειγμα στο HTTPS που προσφέρει το website της υπηρεσίας email τους (για παράδειγμα https://mail.espiv.net) τα δεδομένα θα κρυπτογραφηθούν στη σύνδεση μεταξύ χρήστηΑ και server, θα αποκρυπτογραφηθούν/διαβαστούν στον server, και στη συνέχεια θα κρυπτογραφηθούν πάλι για τη σύνδεση μεταξύ χρήστηΒ και server. Με άλλα λόγια τα δεδομένα της σύνδεσης, είναι αναγνώσιμα από τον server. Αυτό είναι μη επιθυμητό σε πολλές περιπτώσεις. Για παράδειγμα ένας server μπορεί να είναι ευάλωτος σε συγκεριμένη ευπάθεια που επιτρέπει την πρόσβαση σε κακόβουλους.
Το κενό αυτό έρχεται να καλύψει η κρυπτογράφηση από άκρη σε άκρη (end-to-end encryption). Ένας από τους τρόπους με τον οποίο οι χρήστες μπορούν να επιτύχουν από άκρη σε άκρη κρυπτογράφηση είναι η χρήστη GPG/OpenPGP. Η λογική της χρήσης GPG/OpenPGP, δηλαδή ασύμμετρης κρυπτογραφίας στα email είναι οι χρήστες να μπορούν να ανταλάσσουν μηνύματα χωρίς να εμπιστεύονται κανέναν ενδιάμεσο κόμβο στη διαδρομή.
Ο χρήστηςΑ θα κρυπτογραφήσει το email στο ένα άκρο, τον υπολογιστή του, θα το στείλει μέσω του server στον χρήστηΒ. Ο χρήστηςΒ θα λάβει το κρυπτογραφημένο email, και θα το αποκρυπτογραφήσει τοπικά στον υπολογιστή του. Κατά τη διαδρομή αυτή, κανένας ενδιάμεσος, κανένας πλην των δυο εμπλεκομένων στη συνομιλία χρηστών, δεν είναι σε θέση να διαβάσει το περιεχόμενο του email.
Ακόμα, για να γίνεται σωστά η διαδικασία αυτή, πρέπει κάθε χρήστης να φυλάει με μεγάλη προσοχή το ιδιωτικό του κλειδί, τοπικά στον υπολογιστή του. Και αυτό διότι το ιδιωτικό κλειδί είναι αυτό που επιτρέπει την αποκρυπτογράφηση των email που του στέλνουν άλλοι χρήστες.
Ορισμένα webmails, όπως το squirrelmail επιτρέπουν μέσω plugin στον χρήστη να ανεβάζει το ιδιωτικό του GPG κλειδί στον server, ούτως ώστε να μπορεί να κρυπτογραφεί/αποκρυπτογραφεί emails μέσω του browser του. Η τακτική αυτή είναι εντελώς λανθασμένη και καταστρατηγεί ευθέως την έννοια της από άκρη σε άκρη κρυπτογράφησης.
Ανεβάζοντας το ιδιωτικό κλειδί στον server, ο χρήστης αναιρεί τη δυνατότητα να διαβάζει αυτός και μόνο τα κρυπτογραφημένα προς αυτόν emails. Οι servers είναι δημόσια μηχανήματα εκτεθειμένα στο διαδίκτυο, και είναι το πλέον ακατάλληλο σημείο να αποθηκεύσουμε ιδιωτικό κλειδί. Αναιρείται ακόμα η έννοια της μη-εμπιστοσύνης κανενός ενδιάμεσου κόμβου, αφού ο χρήστης επαφίεται ή στο ότι οι διαχειριστές του server δεν θα διαβάσουν το ιδιωτικό του κλειδί και κατά προέκταση τα κρυπτογραφημένα email του ή επαφίεται στο ότι ο server είναι απόλυτα ασφαλής ενάντια σε οποιονδήποτε κακόβουλο αντίπαλο (πράγμα πολύ δύσκολο στην πράξη).
Ανακεφαλαιώνοντας, δεν ανεβάζουμε ποτέ μα ποτέ μα ποτέ το ιδιωτικό μας GPG/OpenPGP κλειδί σε οποιονδήποτε server, ακόμα και στον server του espiv.net.
Τα GPG/OpenPGP κλειδιά μας δεν πρέπει ποτέ να φεύγουν από τον υπολογιστή μας ή/και να αποθηκεύονται σε κάποιο μέσο του οποίου δεν έχουμε τον απόλυτο έλεγχο. Γι’ αυτό το λόγο, θέλοντας να προστατέψουμε τους χρήστες του espiv, δεν θα υπάρχει η δυνατότητα να κάνει κάποιος αυτό το “λάθος” από εδώ και πέρα, στο webmail του espiv δεν θα υπάρχει τρόπος κάποιος να ανεβάσει το GPG κλειδί του.
Όσον αφορά ορισμένα browser plugins, που κάνοντας χρήση javascript αφήνουν τα κλειδιά στη μεριά του χρήστη, αν και δε θέλουμε να είμαστε απόλυτοι οφείλουμε να σημειώσουμε : Μπορεί να είναι πολύ “βολικό” να διαχειριζόμαστε τα κρυπτογραφημένα μας email μέσω του browser, αλλά σίγουρα η χρήση browser και javascript για κρυπτογραφία ενέχει σοβαρούς κινδύνους.
Η ασφάλεια στο διαδίκτυο είναι ένα πολύ δύσκολο ζήτημα. Είναι όμως προτιμότερο να έχουμε επίγνωση ότι στο τάδε σημείο δεν είμαστε ασφαλείς, παρά να τρέφουμε την ψευδαίσθηση ότι είμαστε ασφαλείς. Η ψευδαίσθηση ασφάλειας μας ωθεί να εκτιθέμεθα περισσότερο συχνά με άσχημα αποτελέσματα.
Για να χρησιμοποιούμε ορθά το GPG/OpenPGP στα emails μπορούμε να το κάνουμε με χρήση ενός email client (προγράμματος για την διαχείριση email). Δείτε για παράδειγμα χρήση κρυπτογραφίας με Mozilla Thunderbird :
skytal.es/wiki/Οδηγός_εγκατάστασης_και_χρήσης_του_Thunderbird_με_Enigmail
Διαβάστε περισσότερα για τα emails και την κρυπτογράφηση δημοσίου κλειδιού :
skytal.es/wiki/Ασφαλής_επικοινωνία_μέσω_email
skytal.es/wiki/Κρυπτογράφηση_δημόσιου_κλειδιού