Uma boa criptografia não é mais privilégio dos geeks e dos paranóicos, e a prática está se tornando mais democrática. No entanto, a verdadeira criptografia de ponta a ponta não é tão óbvia e geralmente requer que um certo número de switches seja ativado, como descrevemos neste post sobre mensagens instantâneas. A criptografia OpenPGP não é uma exceção e exige que os usuários sigam algumas boas práticas para atingir o nível mais seguro. Esta postagem fornece uma lista concisa das melhores práticas de criptografia do OpenPGP.
Mailfence - Obtenha seu e-mail seguro e gratuito.
4.1 baseado em 177 avaliações de usuários
Chaves públicas e servidores de chaves públicas (SCP)
- Não confie cegamente nas chaves do servidor público
Qualquer um pode baixar chaves para os servidores de chaves públicas e não há razão para confiar nos relacionamentos induzidos (a associação entre o identificador de e-mail e a chave pública). Você deve verificar com seu dono a impressão digital completa de sua chave. - Sempre verifique chaves públicas com seus destinatários
Recomenda-se fazer esta verificação na vida real ou por telefone.Se isso não for possível, considere lugares como mídia social, um site pessoal, um blog, … que pertença à pessoa cuja chave você deseja obter uma impressão digital – porque algumas pessoas acabam de publicar sua impressão digital de chave público.
- Verifique as impressões digitais de uma chave antes de importá-la
Primeiro verifique a impressão digital, antes de importá-la.
- Nunca confie no ID da chave
Sempre verifique uma determinada chave pública do OpenPGP usando sua impressão digital.Mesmo os identificadores de chave OpenPGP de 64 bits (por exemplo, 0x44434547b7286901 -) podem causar “colisões”, o que é potencialmente um problema muito sério (link em inglês).
- Atualizar chaves públicas no seu keystore
Se você não atualizar as chaves públicas em seu armazenamento de chaves, não será notificado sobre sua expiração ou revogação – duas informações – de maneira oportuna. O Mailfence permite que você faça isso simplesmente clicando em “atualização do servidor público” em qualquer chave pública importada que você tenha em seu keystore.
Se possível, realize uma troca de chaves “questionável”!
Você pode trocar chaves de forma questionável, tendo uma chave pública facilmente disponível e identificável. Diga a todos os seus parceiros que usem sua chave pública para entrar em contato com você e inclua sua chave pública no corpo criptografado da mensagem. Isso irá protegê-lo de todos os ataques habituais de troca de chaves. Apenas certifique-se de que seu público seja verificável em vários canais, por exemplo: mídia social, listas de discussão públicas, servidores principais e assim por diante. Quanto mais canais hospedarem a pegada de PGP da sua chave, mais difícil será para Eve atacar todos eles.
Geração e configuração de chaves OpenPGP
Agora que você sabe como receber atualizações de chaves regulares de um servidor de chaves bem mantido, é necessário verificar se sua chave OpenPGP está configurada de maneira ideal. Muitas dessas alterações podem exigir que você gere uma nova chave.
- Ter uma chave privada forte
O Mailfence gera (link padrão) uma chave RSA de 4096 bits. Mas se você pretende gerar sua chave privada usando uma ferramenta externa – certifique-se de que ela tenha 2048 ou 4096 bits.
- Use uma data de expiração
Os usuários geralmente não querem que suas chaves expirem, mas há boas razões para deixá-las expirarem. Por quê? O objetivo é configurar algo que possa desativar sua chave caso você perca o acesso ou tenha sido comprometido (sem um certificado de revogação). Você ainda pode adiar a data de validade mesmo depois de expirar! Essa “exalação”, na verdade, parece mais uma válvula de segurança que será acionada automaticamente em um determinado momento. Se você tiver acesso à documentação da chave secreta, poderá impedir sua expiração.
- Gere um certificado de revogação
Se você esquecer sua senha ou se sua chave privada estiver comprometida ou perdida, a única esperança que você tem é aguardar a expiração da chave (essa não é uma boa solução). Uma abordagem melhor é ativar seu certificado de revogação (link) publicando-o em servidores de chave pública. Ao fazer isso, você notificará outras pessoas que essa chave foi revogada.No entanto, uma chave revogada ainda pode ser usada para verificar assinaturas antigas ou para descriptografar dados. Desde que você sempre tenha acesso à chave privada. - Outros pontos de verificação da chave OpenPGP
Se você gerou sua chave privada por meio do Mailfence, pode dispensar a leitura desta passagem; ela não se aplica a você:- Certifique-se de que sua chave é uma chave OpenPGPv4- Suas chaves de criptografia OpenPGP devem ser chaves DSA-2 ou RSA (RSA é melhor), idealmente 4096 bits ou mais.- Suas chaves de criptografia OpenPGP devem ter uma data de vencimento razoável (não mais de 2 anos)
Sugestões Adicionais para Melhores Práticas de Criptografia OpenPGP
- Você tem um backup criptografado de sua documentação de chave secreta?
É importante verificar este ponto. Idealmente, você deve fazer o backup de sua chave (criptografada com sua senha padrão) na nuvem e em sua máquina local. Certifique-se também de fazer um backup do seu certificado de revogação em sua máquina local.Nota: tenha em atenção que o seu certificado de revogação está pronto a ser utilizado. Se um invasor puder acessá-lo, ele poderá usá-lo para revogar sua chave. - Não inclua um comentário no seu ID de usuário
Geralmente, o ID do usuário do OpenPGP deve mencionar seu nome ou apelido e não comentários.
- Verifique os servidores de chaves públicas
A maioria dos aplicativos que oferecem criptografia OpenPGP está associada a um único servidor de chaves específico. Isso não é o ideal, porque se o servidor travar, ou pior, se ele travar aparentemente funcionando normalmente, você não poderá receber atualizações de chave importantes. . Esta não é apenas uma vulnerabilidade significativa, mas também uma fonte importante de vazamentos de informações sobre as relações entre usuários do OpenPGP e, portanto, um alvo para ataques.Portanto, é bom não confiar em um único servidor de chave pública para publicar ou importar chaves. O Mailfence usa um pool de servidores SKS – um pool de servidores com verificações regulares de integridade para garantir que funcionem corretamente. Quando um servidor não funciona corretamente, ele é automaticamente removido do pool.Por fim, todas as suas interações com o servidor principal devem ser criptografadas (graças ao TLS / SSL – hkps), que permite ocultar seu cartão de relações sociais para qualquer pessoa que possa tentar espionar seu tráfego.
- Proteja seus metadados
Minimizar o vazamento de informações contextuais da comunicação também é uma boa prática para conseguir simplesmente ocultando os dados de metadados (destinatário, autor, endereço IP, etc.). Quando você tiver a oportunidade e ela for relevante, assuma o controle dessas informações e desassocie-as dos seus dados. Por exemplo, você pode controlar o campo “De” criando uma nova conta de e-mail. O endereço IP do cliente de e-mail remetente pode ser alterado usando uma VPN privada, Tor ou conexão pública com a Internet. Os avisos usuais sobre o Tor se aplicam: não confie exclusivamente no Tor, se você precisar proteger seu endereço IP, use um endereço IP que não possamos associar a você.O assunto nunca deve se referir ao conteúdo do e-mail (ou, melhor, deve ficar vazio), mesmo de forma indireta. Por exemplo, “Assunto: Prazer em vê-lo na Torre Eiffel! Não é um bom exemplo de e-mail seguro.
Se você quiser saber mais sobre a criptografia OpenPGP, leia os seguintes excelentes documentos sobre as melhores práticas de criptografia OpenPGP:
- https://riseup.net/pt/security/message-security/openpgp/best-practices (dicas básicas – um pouco desatualizadas – link em inglês)
- https://alexcabal.com/creating-the-perfect-gpg-keypair/ (dicas básicas – link em inglês)
- https://wiki.debian.org/Keysigning (todos os softwares oficiais Debian e Ubuntu são assinados com OpenPGP – link em inglês)
Nota: Se a sua conta de e-mail não for segura, as práticas recomendadas de criptografia do OpenPGP não ajudarão você. Aconselhamos que você descubra como pode ter uma conta de e-mail particular segura.
Tem perguntas sobre Práticas recomendadas de criptografia OpenPGP? Não hesite em contatar-nos (suporte em mailfence ponto com).
