PGP-kryptering i korte træk
PGP (Pretty Good Privacy) er et system til at beskytte digitale beskeder. Det bruges især til to ting: fortrolighed (så kun den rette modtager kan læse indholdet) og integritet/verificering (så man kan se, om en besked med stor sandsynlighed kommer fra en bestemt afsender og ikke er ændret).
I praksis bygger PGP på kryptografi med offentlige og private nøgler. Derudover kan PGP bruge signaturer, der gør det muligt at verificere, at en besked faktisk stammer fra den, der har den tilhørende private nøgle.
Eenvoudig model: nøgler og to spor i samme besked
Tænk på PGP som to “spor”, der kan bruges i kombination:
- Fortrolighedssporet (kryptering)
- Afsenderen bruger modtagerens offentlige nøgle til at lave en krypteret version af beskeden.
- Modtageren kan kun læse den krypterede besked med sin private nøgle.
- Verifikationssporet (signatur)
- Afsenderen bruger sin egen private nøgle til at lave en signatur over beskeden.
- Modtageren kan kontrollere signaturen med afsenderens offentlige nøgle.
Det centrale er, at du ikke “skjuler” dig selv ved magi; du beskytter beskeder gennem korrekt brug af nøgler.
Hvordan fungerer det i praksis (trinvis, uden lurende detaljer)
En typisk arbejdsgang ser sådan ud:
- Nøgler findes og deles
- Hver bruger har et nøglepar: en offentlig og en privat nøgle.
- Den offentlige nøgle kan deles, så andre kan sende krypterede beskeder til dig.
- Du sender en krypteret besked
- Du finder modtagerens offentlige nøgle.
- Du krypterer beskeden, så den ikke kan læses af andre end den, der har den tilhørende private nøgle.
- Du kan også signere beskeden
- Du signerer beskeden med din private nøgle.
- Modtageren bruger din offentlige nøgle til at kontrollere signaturen.
- Modtageren dekrypterer og verificerer
- Modtageren dekrypterer for at få klartekst.
- Modtageren verificerer signaturen for at vurdere afsendersammenhæng og integritet.
Vigtigt: Hvis en af nøglerne er forkert, eller hvis du ikke har tillid til, at “den offentlige nøgle virkelig tilhører den rigtige person”, så kan resultatet blive misvisende.
Forskelle og grænser: hvad PGP gør (og hvad det ikke gør)
PGP er designet til at beskytte beskeder, men det afhænger af opsætningen og nøglehåndteringen. Følgende punkter er ofte afgørende:
- Korrekt nøglekobling er nødvendig. PGP hjælper kun, hvis den offentlige nøgle faktisk tilhører den person, du tror. Ellers kan du kryptere til (eller verificere mod) den forkerte.
- Privat nøgle må ikke kompromitteres. Hvis din private nøgle lækkes, kan en uvedkommende i praksis kunne læse dine krypterede beskeder og/eller signere, som om det var dig.
- PGP beskytter ikke automatisk alt. Selve PGP-beskyttelsen gælder for de data, du krypterer og signerer, og så længe nøglerne håndteres rigtigt. Metoder uden korrekt nøglebrug giver ikke samme sikkerhed.
Derudover er det værd at være opmærksom på, at sikkerhedsniveauer kan afhænge af implementering og konfiguration. Uden at kende konkrete valg kan man ikke fastslå konkrete styrker eller effekter.
Sådan kan du selv kontrollere, om PGP giver mening
Brug denne kontrolliste, når du vurderer PGP i en konkret sammenhæng:
- Har du adgang til modtagerens korrekte offentlige nøgle (og kan du rimeligt vurdere, at den er den rigtige)?
- Har modtageren den private nøgle, der hører til nøglen, der blev brugt til krypteringen?
- Verificerer du en signatur, eller bruger du kun kryptering? Forvent ikke den samme værdi af begge spor.
- Er du tryg ved, hvordan private nøgler opbevares (lokalt, sikkert og uden uautoriseret adgang)?
Hvis du kan svare ja på de praktiske spørgsmål, er PGP typisk et relevant værktøj til fortrolighed og verifikation. Hvis en nøglekobling eller nøglehåndtering er uklar, bør du regne med, at sikkerheden kan blive mindre pålidelig.
Undtagelser hvor du skal være ekstra kritisk
Vær ekstra kritisk, hvis:
- Du får en offentlig nøgle via en kanal, du ikke stoler på, og du ikke har en måde at vurdere dens oprindelse på.
- Du bruger PGP sammen med andre systemer, hvor beskeder kan blive ændret, før de når frem (så signaturer ikke matcher).
- Du forventer, at PGP løser organisatoriske eller menneskelige fejl. PGP kan beskytte selve data i den kryptografiske proces, men det erstatter ikke gode rutiner.
PGP er altså bedst forstået som en måde at koble kryptering og signatur til konkrete nøgler—og at sikkerheden står og falder med de valg.