Como compartilhar uma chave pública OpenPGP facilmente em três etapas!
A criptografia ponta a ponta é uma parte essencial da plataforma de e-mail privado e seguro Mailfence. Geralmente, para usar criptografia ponta a ponta, compartilhar ou trocar chaves públicas OpenPGP de maneira segura e confiável pode ser desafiador. Nesta postagem do blog, apresentaremos algumas maneiras fáceis, porém confiáveis, de trocar chaves públicas OpenPGP. Abordamos isso passo a passo: onde obter uma chave pública OpenPGP, como obter sua impressão digital separadamente – e, finalmente, como verificar se ela pertence ao seu proprietário reivindicado..
Passo 1: Troque a chave pública do OpenPGP
O primeiro e mais importante passo é compartilhar ou trocar a chave pública OpenPGP com seu destinatário. A seguir estão algumas das maneiras mais comuns e eficientes de executar esta etapa.
E-mail assinado digitalmente
Envair um mail assinado digitalmente com sua chave pública anexada ao destinatário. Posteriormente, o destinatário deve fazer o mesmo. Isso exigirá que você tenha o endereço de e-mail do destinatário com antecedência.
Esta Base de conhecimento O artigo fornecerá as etapas exatas a esse respeito.
Nota: Certifique-se de que o endereço de e-mail que você está enviando ou de onde recebeu é o correto (obtido por meio de um canal paralelo de confiança: reunião pessoal, telefone, …).
Aplicativos de mensagens instantâneas
Existem vários aplicativos de mensagens móveis, que permitem que você envie arquivos também. No entanto, isso exigirá que você tenha o número do celular do destinatário com antecedência e os dois devem estar disponíveis (registrados) no aplicativo correspondente. A seguir estão alguns dos aplicativos móveis para compartilhar ou trocar sua chave pública com o destinatário.
Nota:
- Use o número de celular certo do destinatário (obtido por meio de um canal paralelo de confiança: reunião pessoal, telefone, …).
- Se você não tiver certeza da identidade de seu contato, siga as etapas de verificação de contato específicas para cada aplicativo (Sinal: verifique a pessoa, WhatsApp: Verifique o código de segurança).
Contas de mídia social e outros espaços online
Hoje em dia, muitas pessoas estão nas redes sociais (Facebook, Twitter, …). No entanto, restrições específicas da plataforma se aplicam ao envio de mensagens diretas para outros usuários.
Use uma das seguintes plataformas sociais:
Simplesmente copie o texto da sua chave pública do OpenPGP e envie-a como uma mensagem direta para o seu destinatário
Basta copiar o texto da sua chave pública do OpenPGP e enviá-lo como uma mensagem direta ao seu destinatário
Você pode usar outras plataformas, como o Google+, … seguindo o mesmo procedimento.
Às vezes, você pode encontrar a impressão digital da chave pública do OpenPGP no site de um usuário ou qualquer outro tipo de presença on-line. No Mailfence, você pode usar o backup de documentos para compartilhar sua chave pública usando o link de acesso direto.
1. Vá para o diretório “Meus Documentos” da sua conta do Mailfence, clique na roda, depois clique em “Criar Pasta Pública”.
2. Faça o download da sua chave pública do OpenPGP
3. Clique com o botão direito na sua chave pública e clique em “Acesso direto”
4. Compartilhe o link fornecido em “Acesso público” com seus destinatários e outras pessoas
Nota :
- Falsos perfis de mídia social são comuns, portanto, certifique-se de usar o perfil correto (verificando a confiabilidade).
- Perfis sociais podem ser hackeados. Verifique se há itens suspeitos no perfil do destinatário para garantir que eles não foram invadidos (pirateados).
Depósito de chave pública: Keybase.io
Um repositório de chaves públicas é um local onde você mantém as chaves públicas de pessoas diferentes. O Keybase.io é um repositório de chaves públicas, que permite aos usuários vincular suas chaves com seus dispositivos conectados e também adicionar várias contas nas mídias sociais. Isso traz mais legitimidade à sua identidade, que pode ser cruzada com outras plataformas de mídia social. Também facilita a verificação de assinaturas digitais. O Keybase.io é perfeitamente adaptado à funcionalidade OpenPGP do Mailfence.
1. Crie sua conta
2. Faça o download da sua chave pública PGP (você também precisará assiná-la, usando sua chave privada no assistente abaixo)
3. Instale vários dispositivos e conecte várias contas sociais – para estabelecer sua identidade
Nota: Keybase adquirido pelo Zoom. O Zoom tem reputação de segurança questionável e tem sido relatam que estão (afirmam erronemamente) executando servidores na China. Se preferir, você pode usar repositórios de validação como OpenPGP.org.
Outros repositórios de chaves públicas
Existem outros servidores de chaves públicas abertas, abertas que não exigem que você crie uma conta e / ou assine sua chave pública antes de fazer o download. No entanto, dar-lhes chaves públicas é um processo irreversível (sua chave não pode ser excluída ou modificada, exceto em caso de alteração da data de validade, adição de subchaves, …). Outra desvantagem desses servidores principais é que seu UID (nome e endereço de e-mail) se torna público.
Se você não quiser compartilhar sua chave pública com outros servidores de chaves públicas por meio do Mailfence, siga estas etapas:
1. Vá para Configurações -> Mensagens -> Criptografia e clique na sua chave pessoal
2. Clique em “Publicar no servidor de chaves públicas”
Nota :
- Como qualquer pessoa pode publicar uma chave pública nesses servidores de chave pública abertos, certifique-se de estabelecer algum nível de confiança antes de copiar a impressão digital da chave pública.
- Evite copiar a impressão digital de uma chave pública revogada ou expirada.
Passo 2: Obtenha a impressão digital de uma chave pública OpenPGP usando outro método
Depois de compartilhar ou trocar a chave pública com o destinatário, o próximo passo é adquirir a impressão digital da chave pública correspondente usando outro método. As chaves públicas podem ser usurpadas, por isso não se abstenha deste passo.
E-mail assinado digitalmente
Envie um e-mail assinado digitalmente. Deve incluir sua impressão digital da chave pública no corpo da mensagem. Peça ao seu destinatário para fazer o mesmo.
No Mailfence, isso pode ser feito seguindo as seguintes etapas:
1. Componha sua mensagem, incluindo sua impressão digital de chave pública OpenPGP
2. Assine digitalmente sua mensagem e envie-a.
Nota:
- Certifique-se de que o endereço de e-mail para o qual você enviou esta mensagem ou da qual você recebeu um e-mail é o correto (obtido de maneira confiável: reunião pessoalmente, por telefone, …) porque pode ser usurpado.
Mensagens instantâneas ou aplicativos de chamada
Isso exigirá que você tenha o número do celular do destinatário com antecedência. Um simples telefonema será suficiente. No caso de mensagens instantâneas: você e seu destinatário devem estar disponíveis (registrados) no aplicativo correspondente.
A seguir estão alguns dos aplicativos móveis para compartilhar ou trocar sua impressão digital de chave pública com o destinatário.
Nota:
- Use o número de celular certo do destinatário (obtido por meio de um canal paralelo de confiança: reunião pessoal, telefone, …).
- Se você não tiver certeza da identidade de seu contato, siga as etapas de verificação de contato específicas para cada aplicativo (WhatsApp: Verifique o código de segurança, Signal: verifique a pessoa).
Contas de mídia social
Muitas pessoas hoje estão nas redes sociais (facebook, twitter,…). Consequentemente, é um canal fácil para compartilhar ou trocar sua impressão digital de chave pública. No entanto, existem várias restrições ao envio de mensagens diretas a outros usuários específicos de cada plataforma.
Use uma das seguintes plataformas sociais:
Simplesmente copie o texto da sua chave pública do OpenPGP e a envie como uma mensagem direta para o seu destinatário
Você também pode incluir a impressão digital da sua chave pública do OpenPGP na seção “Sobre” do seu perfil.
Basta copiar o texto da sua chave pública do OpenPGP e enviá-lo como uma mensagem direta ao seu destinatário.
Adicione a impressão digital da sua chave pública do OpenPGP na seção “Sobre” do seu perfil.
Você pode usar outras plataformas, como o Google+, … seguindo o mesmo procedimento.
Às vezes, você pode encontrar a impressão digital da chave pública do OpenPGP no site de um usuário ou qualquer outro tipo de presença on-line. No Mailfence, você pode usar o backup de documentos para compartilhar sua chave pública usando o link de acesso direto.
1. Vá para o diretório “Meus Documentos” da sua conta do Mailfence, clique na roda, depois clique em “Criar Pasta Pública”.
2. Faça o download da sua chave pública do OpenPGP
3. Clique com o botão direito na sua chave pública e clique em “Acesso direto”
4. Compartilhe o link fornecido em “Acesso Público” com seus destinatários e outros
Nota:
- Perfis falsos são comuns nas redes sociais, portanto, certifique-se de usar o perfil correto (verificando a confiabilidade).
- Perfis sociais também podem ser hackeados. Verifique se há itens suspeitos no perfil do destinatário para garantir que eles não foram invadidos (pirateados).
Abrir depósitos de chave pública
Você pode usar qualquer repositório de chave pública para adquirir impressões digitais de chave pública. O objetivo é obter a impressão digital da chave pública usando um canal separado.
- Validating key serve (keys.openpgp.org)
- SKS key server (e.g., https://pgp.mit.edu)
No Mailfence, siga estas etapas:
1. Vá para Configurações -> Mensagens -> Criptografia -> Adicionar chave pública -> Pesquisar servidores de chave pública
2. Digite o nome ou ID de e-mail ou ID da chave do destinatário e pressione Enter. A impressão digital da (s) chave (s) pública (s) será exibida.
Nota:
- Evite copiar a impressão digital de uma chave pública revogada e / ou expirada
- O objetivo é adquirir a impressão digital usando outro meio. Use o máximo possível de métodos alternativos para obter a impressão digital da chave pública e cruzar os dados encontrados.
Etapa 3: Verifique se a chave pública do OpenPGP pertence ao proprietário reivindicado
Finalmente, depois de obter a chave pública de seu (s) destinatário (s) e sua impressão usando um método diferente, é fácil prosseguir com a verificação. Basta comparar a impressão digital da chave pública que o seu destinatário lhe deu com a impressão digital que encontrou. Se corresponder, você pode ter certeza de que a chave pública comunicada pertence ao proprietário reivindicado. Agora você pode usá-lo com segurança para se comunicar com seu (s) destinatário (s).
Etapa 3: Verifique se a chave pública do OpenPGP pertence ao proprietário reivindicado
Finalmente, depois de obter a chave pública de seu (s) destinatário (s) e sua impressão usando um método diferente, é fácil prosseguir com a verificação. Basta comparar a impressão digital da chave pública que o seu destinatário lhe deu com a impressão digital que encontrou. Se corresponder, você pode ter certeza de que a chave pública comunicada pertence ao proprietário reivindicado. Agora você pode usá-lo com segurança para se comunicar com seu (s) destinatário (s).
No Mailfence, siga o procedimento a seguir:
1. Vá para Configurações -> Mensagens -> criptografia -> Clique na chave pública do seu destinatário
2. Copie a impressão digital da chave pública OpenPGP obtida (na etapa 2) e use a função “localizar” do seu navegador (por exemplo, pressione Ctrl + F)
3. Se houver correspondência, você pode ter certeza de que a chave pública obtida pertence ao proprietário reivindicado. Além disso, você pode usá-lo para se comunicar com segurança com o (s) destinatário (s).
Todo o fluxo de trabalho e a última etapa em particular podem ser resumidos através do seguinte infográfico.
SIDE-CASE
Reunião pessoalmente: se você conhece o destinatário com antecedência e é possível encontrá-la pessoalmente, esta é provavelmente a opção mais adequada. Você pode compartilhar ou trocar a chave pública usando uma unidade flash. Em seguida, troque sua impressão digital oralmente ou por qualquer outro meio possível que seja seguro e confiável. A etapa 3 ainda se aplica a esta situação.
Uma nota final: não se esqueça de verificar a revogação ou expiração da chave pública.
Veja também:
- End-to-end email encryption. What is it and how does it work?
- OpenPGP encryption best practices
- Digitally signed emails. What is it and how do digital signatures work?
- OpenPGP digital signature best practices
- Our knowledge base article explains how to export public keys.
- Which encryption is best?
Siga-nos no twitter/reddit e mantenha-se informado em todos os momentos.
A equipe do Mailfence
Salman trabalha como analista de segurança da informação no Mailfence. Seus interesses incluem criptografia, arquitetura e design de segurança, controle de acesso e segurança operacional. Você pode segui-lo no LinkedIn em @mohammadsalmannadeem.
