I forrige episode av Private jeg, forklarte jeg det grunnleggende fellesnøkkel (PK) kryptografi, en måte å rykke ut meldinger i en måte som bare noen som innehar en bestemt nøkkel kan dekryptere, uten at nøkkelen å måtte offentliggjøres eller delt. Det er et effektivt system som ikke har noen kjente teoretiske exploits, og for tiden utplassert implementeringer anses robust

Og for å oppsummere:. Den smarte litt med offentlig-nøkkel tilnærming er at du har to komplementære nøkler, én offentlig og én privat. Den offentlige nøkkelen kan fritt distribueres. Noe kryptert av noen andre med den offentlige nøkkelen kan kun dekrypteres ved å ha tilgang til den tilsvarende private nøkkelen. Og en privat nøkkel kan brukes til å "signere" en tekststreng eller et dokument for å bevise matematisk at bare den private nøkkelen er besitteren kunne ha signert den.

Men det er to savnede stykker som ville la Mac, iOS , og andre plattformer 'brukere dra nytte av PK. Den første er pragmatisk: Avsenderens og mottakere trenger kompatible programvareverktøy eller plugins, gjerne integrert i apps slik at liten innsats er nødvendig. Den andre er eksistensielle: Uten pre-arrangement, som for eksempel møte i person eller en telefonsamtale, hvordan vet du at det som utgir seg for å være noen offentlige nøkkel er faktisk
vedkommendes nøkkelen

Den enkleste måten å løse begge problemer på er å bruke en ende-til-ende proprietær økosystem, men som får oss tilbake, mer eller mindre, for å iMessage eller noe lignende. Silent Circle har en av de beste alternativene som bygger offentlig-nøkkel kryptografi, hvis du kan overbevise alle de personene du trenger å kommunisere å velge i. Det starter på $ 10 per måned for ubegrenset tekst, samtaler, video chat, og filoverføringer blant sine brukere. Tjenestens meldingstjenester og roper alternativer fikk score til 7 av 7 i Electronic Frontier Foundation sikre meldingstjenester målstyring.

PGP på Mac

Men de fleste av oss ikke bor i en inngjerdet hage , og en av selskapets grunnleggere, Phil Zimmermann, er ansvarlig for nesten 25 år siden for å snu offentlig-nøkkel kryptografi i hva han kalte PGP, for Pretty Good Privacy. (Hvordan PGP fungerer er beskrevet i del 1.)

PGP er tilgjengelig for Mac via GPGTools, en versjon av fri programvare GPG (GNU Privacy Guard). Den lar deg bygge en katalog av andres offentlige nøkler, mens også slik at du kan utføre kryptering, dekryptering, signering, og verifisere. (PGP er et varemerke, og GPG skapt for å komme seg rundt det, men du vil ofte se PGP brukt felles referanse til denne metode for å bruke offentlige nøkler.)

EFF har veldig fin trinn-for-trinn instruksjoner for installasjon GPGTools å tillate at den kan brukes direkte med enten Apple Mail eller Mozilla Thunderbird for epost; verktøyene er også tilgjengelig via programmets Services menyen hvor du kan manipulere eller markere tekst. GPGTools er foreløpig gratis, men har planer om å kreve en svært beskjeden avgift for sin e-plug-in på et tidspunkt for å bidra til å støtte utviklingskostnadene.

EFF instruksjoner lede deg gjennom å opprette en egen offentlig /privat nøkkel i GPG nøkkelring . For å bruke GPGTools med e-post, med tastet behov har samme e-postadresse som avsenderadressen som du ønsker å sende krypterte meldinger. Når du har en nøkkel, kan du laste opp en nøkkel til en nøkkeltjener ved å velge din nøkkel og velge Key > Send Public Key til nøkkeltjener. Dette gjør din nøkkel søkbar ved ditt navn og e-postadresse i en PGP-katalogen. En nøkkel har en tilhørende fingeravtrykk, en kryptografisk transformasjon av den offentlige nøkkelen som er langt kortere, noe som jeg får til i et øyeblikk.

Når du skriver en e-post i Mail etter å gå gjennom installasjonen og nøkkel skapelse, du har nå to nye ikoner på emnefeltet så lenge du sender konto matcher alle offentlige nøkkelen du har opprettet. Den blå starburst hake indikerer den utgående post vil bli signert av den private nøkkelen, slik at andre kan bekrefte at det har vært uendret i overføring, så lenge de har den offentlige nøkkelen. Og du kan klikke på ikonet låsen hvis alle mottakere i adressefeltene har offentlige nøkler lagret i GPG nøkkelring.

(Merk at PGP-kryptert epost beskytter innholdet i meldingen, men ikke dens emnefeltet eller metadata: ruting informasjon og andre detaljer som er lagret i e-posthoder, og som har dannet en stor del av analysen av NSA og andre regjeringenes sikkerhetsorganisasjoner til å identifisere mønstre)

På sende en slik melding,. du bedt om å oppgi passordet. Oppbevarer jeg passphrase i 1Password, slik at jeg kan ta det raskt opp. Hvis du har tenkt å skrive det, gjør det noe lang og minneverdig med et enkelt stykke tegnsetting, som "Fra fortsatt i natt!" - Dette er egentlig uncrackable grunn av lengden og det faktum at uttrykket aldri ville dukke opp i hvilken som helst engelsk tekst som brukes for ord-frekvensanalyse.

Nå, selvfølgelig, mottakerne må gå gjennom den samme prosedyren, eller bruke andre kompatible PGP programvare. Symantec gir fortsatt PGP, selv om det fungerer på Mac bare med Microsoft Outlook. Det er andre implementeringer av GPG for andre plattformer. Og noen mobile apps kan håndtere PGP-krypterte dokumenter og e-post. (Jeg så for PGP iOS app som oppfyller regningen, og den nåværende besetning har en rekke begrensninger. Jeg skal se på dette videre som denne situasjonen endrer seg.)

Med GPGTools installert, kan du også utføre alle de andre PGP-stil operasjoner fra tjenestemenyen. For eksempel, som jeg skriver dette i BBEdit, kan jeg velge BBEdit > Tjenester > Sett Fingeravtrykk min (som er 53F4 9E97 2 652 4E2F 2 993 4611 BB54 A24B EDD1 8384). Jeg kan også kryptere, signere, kontrollere og så videre.

Kontroll på tastene

Men la oss vende seg til den eksistensielle problem. Du har en nøkkel som er knyttet til din e-postadresse, og du legger den offentlige nøkkelen til en nøkkeltjener. Hvordan kan noen være sikker på at det er din nøkkel? Hvis de e du på adressen, er det mulig at e-post har blitt tuklet med, og meldingen er mottatt, og svart på uten at du noen gang å vite om det. En metode for å validere et Nøkkelen er å ringe noen, fordi det er omtrent null sannsynlighet for at en man-in-the-middle kunne vite at du var å gjøre samtalen, fange den, og snakke i sanntid fingeravtrykk av en falsk nøkkel. Når du har bekreftet en nøkkel ved å stemme eller person som bruker sin fingeravtrykk, du er satt.

Grunnen til at jeg er så sikker på, men at offentlig-nøkkel meldinger kan stige i popularitet, men er grunn Keybase.io, for tiden en invitasjon-only og gratis offentlig-nøkkel tjeneste som håndterer nøkler og håndterer krypteringsoppgaver i nettleseren eller via kommandolinjeverktøy - men som også gir vesentlige og nyttige måter å validere den offentlige nøkkelen til andre folks tilfredshet.

Besøk min profil på Keybase.io, og du ser at jeg har verifisert meg selv på flere måter. Jeg postet en tweet med en kode levert av Keybase, postet et element til min Github depotet, lagt til en spesiell tekstbasert DNS record, og lastet opp en fil til min nettside. Dette er sannsynligvis et godt sett med vektorer som ingen annen person skal kunne kapre uten å bli lagt merke til.

The nice del av Keybase er at når den utvider utenfor sin invitasjon bare fase, vil det gi en felles sted for folk å laste opp nøkler eller generere nye, og validere seg alt på en gang. Selv Keybase ikke fungerer nøkkeltjener programvare (for en rekke årsaker, obskure og ellers), kan du klikke på nøkkelen til noen profil, og opp popper et vindu der du kan lagre vedkommendes offentlige nøkkel eller kopiere den.

GPG nøkkelring kan du lime inn en offentlig nøkkel inn i hovedvinduet eller importere den offentlige nøkkelen filen. Deretter kan du umiddelbart bekrefte at nøkkelen mot fingeravtrykk på stedet i samme pop-up vindu.

Ikke noe av dette er, skal vi si, grei. Men verken krever det nivået av tweakiness og kompleksiteten i år tidligere. Gang satt opp, kan du sende og motta kryptert e-post med andre mennesker som bruker PGP rett og slett ved å huske eller å hente nøkkelen sin passphrase. Og det bringer oss mye nærmere pålitelig kryptert kommunikasjon på etterspørsel enn vi har vært til nå. Anmeldelser