Come installare, configurare e usare PGP per macOS per proteggere la privacy

Per usare PGP  per scambiare email sicure devi riunire tre programmi: GnuPG, Mozilla Thunderbird ed Enigmail. GnuPG è il programma che in realtà crittografa e decrittografa il contenuto della tua posta, Mozilla Thunderbird è un client di posta elettronica che ti permette di leggere e scrivere e-mail senza usare un browser, ed Enigmail è un componente aggiuntivo  a Mozilla Thunderbird che lega tutto insieme.

Ciò che questa guida insegna è come utilizzare PGP con Mozilla Thunderbird, un programma client di posta elettronica che svolge una funzione simile a Outlook. Potresti avere il tuo programma di posta elettronica preferito (o utilizzare un servizio di posta web come Gmail o Outlook.com). Questa guida non ti dirà come usare PGP con questi programmi. Puoi scegliere di installare Thunderbird e sperimentare con PGP con un nuovo client di posta elettronica, oppure puoi studiare altre soluzioni per utilizzare PGP con il tuo software abituale. Non abbiamo ancora trovato una soluzione soddisfacente per questi altri programmi.

L'uso di PGP non crittografa completamente  tutti gli aspetti della tua e-mail: le informazioni sul mittente e sul destinatario non sono criptate. La crittografia delle informazioni sul mittente e sul destinatario potrebbe interrompere la posta elettronica. Per motivi simili, PGP non crittografa la riga dell'oggetto delle tue e-mail in modo da poter utilizzare una riga di oggetto generica quando si inviano e-mail crittografate. Ciò che utilizza Mozilla Thunderbird con il componente aggiuntivo Enigmail ti offre un modo semplice per crittografare il corpo della tua email.

Per prima cosa devi scaricare tutto il software necessario, installarlo e quindi terminare con la configurazione e come utilizzare il risultato.

Pretty Good Privacy  ( PGP  ) è un modo per proteggere le tue comunicazioni e-mail dalla lettura da parte di chiunque tranne i destinatari previsti. E, in misura minore, può salvare le tue e-mail dalla lettura se il computer su cui sono archiviati viene rubato o violato.

Può anche essere usato per dimostrare che una email proviene da una particolare persona, invece di essere un falso messaggio inviato da un altro mittente (altrimenti è molto facile che l'email sia fabbricata). Entrambe queste sono difese importanti se il tuo obiettivo è la sorveglianza o la disinformazione.

Per utilizzare PGP, dovrai installare alcuni software aggiuntivi che funzioneranno con il tuo attuale programma di posta elettronica. Dovrai anche creare una chiave privata  , che manterrai privato. La chiave privata è ciò che userai per decifrare  e-mail inviate a te e per firmare digitalmente le e-mail che invii per mostrare che provengono veramente da te. Infine, imparerai come distribuire la tua chiave pubblica, una piccola porzione di informazioni che gli altri dovranno conoscere prima di poterti inviare messaggi crittografati e che potranno utilizzare per verificare le email che invii.

Ottenere e installare GnuPG

Puoi ottenere GnuPG (noto anche come GPG) su Mac OS X scaricando il piccolo programma di installazione dalla pagina di download di GnuPG

Aggiunta di un account di posta a Mozilla Thunderbird

Verrà aperta una nuova finestra:

In molti casi Mozilla Thunderbird rileva automaticamente le impostazioni necessarie.

In alcuni casi Mozilla Thunderbird non ha informazioni complete e dovrai inserirle tu stesso. Ecco un esempio delle istruzioni fornite da Google per Gmail:

• Server posta in arrivo (IMAP): richiede SSL

  • imap.gmail.com

  • Porto: 993

  • Richiede SSL: Sì

• Server posta in uscita (SMTP): richiede TLS

  • smtp.gmail.com

  • Porta: 465 o 587

  • Richiede SSL: Sì

  • Richiede l'autenticazione: Sì

  • Utilizza le stesse impostazioni del server di posta in arrivo

• Nome completo o nome visualizzato: [nome o pseudonimo  ]

• Nome account o Nome utente: il tuo indirizzo Gmail completo ( nomeutente@gmail.com ).Utenti di Google Apps, inserisci username@tuo_dominio.com

• Indirizzo email: il tuo indirizzo Gmail completo ( username@gmail.com ) utenti di Google Apps, inserisci username@tuo_dominio.com

• Password: la tua password Gmail

Se si utilizza l' autenticazione a due fattori  con Google (e in base al modello di minaccia  probabilmente dovresti!) non puoi usare la tua password Gmail standard con Thunderbird. Invece, dovrai creare una nuova password specifica per Thunderbird per accedere al tuo account Gmail. Consulta la guida di Google per farlo.

Configurazione richiesta Passaggi

Nel maggio 2018 i ricercatori hanno rivelato diverse vulnerabilità nel PGP  (incluso GPG) per e-mail, e ha teorizzato molti altri su cui altri potrebbero basarsi.

Gli sviluppatori di Thunderbird e Enigmail hanno lavorato su come proteggere le vulnerabilità EFAIL. A partire dalla versione 2.0.6 (rilasciata il 27 maggio 2018), Enigmail ha rilasciato patch che difendono contro tutti gli exploit conosciuti descritti nel documento EFAIL, insieme ad alcuni nuovi nella stessa classe che altri ricercatori sono stati in grado di escogitare , che hanno battuto in precedenza Correzioni di Enigmail. Ogni nuova correzione ha reso un po 'più difficile per un attaccante passare attraverso le difese di Enigmail. Siamo fiduciosi che, se si aggiorna a questa versione di Enigmail (e si continua ad aggiornare!), Gli utenti di Thunderbird possono riattivare il proprio PGP.

Ma, mentre Enigmail ora difende dagli attacchi più conosciuti anche con l'HTML attivato, la vulnerabilità EFAIL ha dimostrato quanto l'HTML sia pericoloso per la sicurezza. Pertanto, consigliamo agli utenti di Enigmail di disattivare l'HTML andando su Visualizza> Corpo del messaggio come> Testo normale.

1. Fai prima clic sul menu dell'hamburger Thunderbird (le tre linee orizzontali). 

La visualizzazione di tutte le e-mail in testo semplice può essere difficile, e non solo perché molti servizi inviano solo e-mail HTML. Disattivare la posta HTML può comportare alcuni problemi di usabilità, come ad esempio la mancata visualizzazione di alcuni allegati . Gli utenti di Thunderbird non dovrebbero dover fare questo scambio tra usabilità e sicurezza, quindi speriamo che Thunderbird guarderà da vicino a sostenere la loro comunità di testo in chiaro d'ora in poi. Tuttavia, poiché il software è ora, gli utenti dovranno decidere autonomamente se correre il rischio  di usare la posta HTML; gli utenti più vulnerabili non dovrebbero probabilmente correre questo rischio, ma la scelta giusta per la tua comunità è un giudizio basato sulla tua situazione .

Ora inizierai a creare la tua chiave privata  e chiave pubblica. Ulteriori informazioni sulle chiavi e su cosa sono, nella nostra Introduzione alla crittografia a chiave pubblica e alla guida PGP .

Creazione di una chiave pubblica e Key privato 

La tua chiave scadrà a un certo momento; quando ciò accade, altre persone smetteranno di usarlo interamente per nuove e-mail, anche se potresti non ricevere alcun avvertimento o spiegazione sul perché. Pertanto, potresti voler contrassegnare il tuo calendario e prestare attenzione a questo problema circa un mese prima della data di scadenza.

È possibile estendere la durata di una chiave esistente dandogli una nuova data di scadenza successiva oppure è possibile sostituirla con una nuova chiave creando una nuova da zero. Entrambi i processi potrebbero richiedere di contattare le persone che ti inviano email e assicurandosi che ottengano la chiave aggiornata; il software attuale non è molto bravo nell'automazione di questo.Quindi fai un promemoria per te stesso; se non pensi di essere in grado di gestirlo, puoi considerare di impostare la chiave in modo che non scada mai, anche se in quel caso altre persone potrebbero provare a usarla quando ti contattano lontano nel futuro anche se non sei più avere la chiave privata o non utilizzare più PGP  .

Per controllare la data di scadenza della tua chiave in Thunderbird, fai clic sul menu Enigmail e seleziona "Gestione chiavi". Cerca la tua chiave nella finestra Gestione chiavi Enigmail e fai doppio clic su di essa. Si aprirà una nuova finestra e la data di scadenza della tua chiave verrà visualizzata nel campo "Scadenza". Per impostare una nuova data di scadenza, fai clic sul pulsante "Cambia" accanto alla data di scadenza attuale della chiave. Ricordarsi di inviare la chiave pubblica aggiornata ai propri contatti o pubblicarla su un server delle chiavi se si aggiorna la data di scadenza della chiave.

Enigmail genererà la chiave e quando sarà completa, si aprirà una piccola finestra che chiede di generare un certificato di revoca  . Questo certificato di revoca è importante in quanto consente di rendere la chiave privata e la chiave pubblica non valide in caso di perdita della chiave privata o di furto. Per questo motivo, archiviare il certificato di revoca separatamente dalla propria chiave privata;masterizzalo su un CD o mettilo su un'unità USB e conservalo in un luogo sicuro. La pubblicazione del certificato di revoca su un server delle chiavi consentirà agli altri utenti PGP di non utilizzare o fidarsi di tale chiave pubblica. È importante notare che la semplice eliminazione della chiave privata non invalida la chiave pubblica e può indurre altri a inviarti messaggi crittografati che non è possibile decodificare  . Fai clic sul pulsante "Genera certificato" . 

Passaggi di configurazione opzionali

Mostra impronte digitali e chiave  Validità

I passaggi successivi sono completamente facoltativi ma possono essere utili quando si utilizzano OpenPGP ed Enigmail. In breve, l'ID chiave è una piccola parte dell'impronta digitale  . Quando si tratta di verificare che una chiave pubblica appartenga a una determinata persona, l'impronta digitale è il modo migliore. La modifica della visualizzazione predefinita facilita la lettura delle impronte digitali dei certificati che conosci. Fare clic sul pulsante di configurazione, quindi sull'opzione Enigmail, quindi su Gestione chiavi. 

All'estrema destra c'è un piccolo pulsante. Fare clic su quel pulsante per configurare le colonne.Deselezionare l'opzione ID chiave e fare clic sull'opzione Impronta digitale e l'opzione Validità chiave. 

Individuazione di altre persone che utilizzano PGP

Ottenere una chiave pubblica  per e-mail 

Ottenere una chiave pubblica come file

È possibile che tu ottenga una chiave pubblica scaricandola da un sito Web o che qualcuno possa averla inviata tramite il software di chat. In un caso come questo, assumeremo che tu abbia scaricato il file nella cartella Download.

Si aprirà una nuova finestra con i risultati dell'importazione. Fai clic sul pulsante "OK".

Ottenere una chiave pubblica da un server delle chiavi

I server di chiavi possono essere un modo molto utile per ottenere la chiave pubblica. Prova a cercare una chiave pubblica.

Permettere agli altri di sapere che stai usando PGP

Ora che hai PGP, vuoi far sapere agli altri che lo stai utilizzando in modo che possano anche inviarti messaggi crittografati usando PGP.

L'uso di PGP non crittografa completamente  la tua email: le informazioni sul mittente e sul destinatario non sono criptate. La crittografia delle informazioni sul mittente e sul destinatario potrebbe interrompere la posta elettronica. Utilizzo di Thunderbird con il componente aggiuntivo Enigmail  ti offre un modo semplice per crittografare e decifrare  il contenuto della tua email

Diamo un'occhiata a tre diversi modi in cui puoi far sapere alle persone che stai usando PGP.

Fai sapere alla gente che stai usando PGP con una email

Puoi facilmente inviare via email la tua chiave pubblica  a un'altra persona inviando loro una copia come allegato. 

Una finestra si aprirà chiedendoti se ti sei dimenticato di aggiungere un allegato. Questo è un bug nell'interazione tra Enigmail e Mozilla Thunderbird, ma non preoccuparti, la tua chiave pubblica sarà allegata. Fai clic sul pulsante "No, invia ora".

Fai sapere alla gente che stai usando PGP sul tuo sito web

Oltre a far conoscere le persone via e-mail, puoi pubblicare la tua chiave pubblica sul tuo sito web. Il modo più semplice è caricare il file e collegarlo ad esso. Questa guida non spiegherà come fare queste cose, ma dovresti sapere come esportare la chiave come file da utilizzare in futuro. 

Ora si aprirà una finestra per poter salvare il file. Per poterlo trovare più facilmente in futuro, salva il file nella cartella Documenti. Ora puoi usare questo file come desideri.

Assicurati di non fare clic sul pulsante "Esporta chiavi segrete" perché l'esportazione della chiave segreta potrebbe consentire ad altri di impersonare te se sono in grado di indovinare la tua password  

Caricamento su un server delle chiavi

I server di chiavi semplificano la ricerca e il download di chiavi pubbliche di altri. La maggior parte dei moderni server di chiavi si sta sincronizzando, il che significa che una chiave pubblica caricata su un server raggiungerà infine tutti i server.

Anche se caricare la tua chiave pubblica su un server delle chiavi potrebbe essere un modo conveniente per far sapere che hai un certificato PGP pubblico, dovresti sapere che, a causa della natura del funzionamento dei keyserver, non c'è modo di eliminare le chiavi pubbliche una volta caricate.

Prima di caricare la tua chiave pubblica su un server delle chiavi, è bene prendere un momento per valutare se vuoi che tutto il mondo sappia che hai un certificato pubblico senza la possibilità di rimuovere queste informazioni in un secondo momento.

Se si sceglie di caricare la propria chiave pubblica su keyserver, si tornerà alla finestra Gestione chiavi di Enigmail.

Revoca del PGP Chiave 

Revoca della chiave PGP tramite l'interfaccia di Enigmail

Le chiavi PGP generate da Enigmail scadono automaticamente dopo cinque anni. Quindi se perdi tutti i tuoi file, puoi sperare che le persone sappiano di chiederti un'altra chiave una volta che la chiave è scaduta.

Potresti avere una buona ragione per disabilitare la chiave PGP prima che scada. Forse vuoi generare una nuova chiave PGP più forte. Il modo più semplice per revocare la propria chiave PGP in Enigmail è tramite il gestore chiavi Enigmail. 

Revoca di una chiave PGP con un certificato di revoca 

Come accennato in precedenza, potresti avere una buona ragione per disattivare la chiave PGP prima che scada. Allo stesso modo, altri potrebbero avere buoni motivi per revocare una chiave esistente. Nella sezione precedente potresti aver notato che Enigmail genera e importa internamente un certificato di revoca quando si utilizza Enigmail Key Manager per revocare una chiave.

Potresti ricevere i certificati di revoca inviati dagli amici come avviso di voler revocare la chiave.Poiché hai già un certificato di revoca, utilizzerai quello che hai generato in precedenza per revocare la tua chiave.