Definition og formål

PGP (ofte omtalt som “Pretty Good Privacy”) er en metode til at beskytte digital kommunikation ved hjælp af kryptografi. I praksis bruges PGP typisk til e-mail og filer, hvor målene er:

  • Fortrolighed: kun den tilsigtede modtager kan læse indholdet.
  • Integritet og afsenderægthed: modtageren kan se, om indholdet er ændret, og om afsenderens signatur er gyldig.

PGP opnår det primært med asymmetrisk (offentlig/nøgle-)kryptografi og digitale signaturer.

Et simpelt modelbillede: kryptering og signatur

Tænk på to separate mekanismer, der ofte bruges sammen:

  1. Kryptering: En afsender bruger modtagerens offentlige nøgle til at gøre beskeden ulæselig for andre. Når modtageren skal læse, bruger vedkommende sin private nøgle til at genskabe indholdet.

  2. Digital signatur: Afsenderen signerer beskeden med sin private nøgle. Modtageren bruger afsenderens offentlige nøgle til at kontrollere, at signaturen passer til beskedens indhold.

Det betyder, at kryptering handler om “hvem der kan læse”, mens signering handler om “om indholdet er som det blev sendt” og “om afsenderens nøgle kan verificeres”.

Hvad PGP ikke løser (vigtige begrænsninger)

Selv om PGP kan beskytte selve dataen, afhænger sikkerhedsudbyttet af, hvordan nøgler håndteres i virkeligheden. Centrale begrænsninger er:

  • Nøgle-tillid er afgørende: Hvis en angriber kan få dig til at bruge en forkert offentlig nøgle (for eksempel en “imposter-”nøgle), kan kryptering og signaturverifikation mislede dig.
  • Pålidelighed uden for kryptografien: PGP beskytter ikke automatisk mod usikker adfærd, kompromitterede enheder eller kompromitterede konti, der bruges til at sende og modtage.
  • Brugerfejl betyder noget: Forkert import af nøgler, manglende nøglebekræftelse og håndtering af private nøgler (fx tab eller læk) kan reducere sikkerheden.

Derfor bør man se PGP som et stærkt værktøj til specifikke sikkerhedsmål—ikke som en fuld “alt-i-en” løsning.

Hvorfor det er vigtigt for online sikkerhed

PGP er relevant, fordi online kommunikation ofte risikerer to klassiske problemer:

  • Uautoriseret læsning: Kryptering kan forhindre andre i at se indholdet.
  • Uopdagede ændringer og tvivl om afsender: Digitale signaturer kan gøre det tydeligere, om en besked er blevet ændret, eller om den kommer fra den nøgle, du forventer.

Det er især værdifuldt, når der er behov for højere grad af kontrol over, hvordan fortrolighed og integritet bevares—og når modtagere kan verificere nøgler på en betroet måde.

Praktiske kontrolpunkter du kan bruge

Du kan bruge følgende punkter til at vurdere, om PGP i et konkret tilfælde giver mening og bliver brugt korrekt:

  • Har du den rigtige offentlige nøgle til modtageren (og omvendt), og kan du begrunde din tillid til den?
  • Bruger du signaturer når afsenderægthed er relevant, og kontrollerer du, at signaturen validerer?
  • Er din private nøgle beskyttet (fx via sikker adgang og passende beskyttelse af nøglelager)?
  • Giver “krypteret” og “signeret” mening i jeres behov: kryptering til fortrolighed, signering til integritet/afsenderverifikation.

Forskelle du bør kende: kryptering vs. signering

Det hjælper at skelne klart:

  • En besked kan være krypteret uden at den er signeret.
  • Den kan være signeret uden at den er krypteret.
  • Ofte bruges begge, så du får både fortrolighed og mulighed for at opdage ændringer.

Hvis du forveksler formålene, kan du fejlvurdere sikkerheden. For eksempel kan en gyldig signatur stadig betyde, at en forkert offentlig nøgle blev accepteret—så nøgletillid er et separat kritisk lag.