Definition og formål

PGP (ofte skrevet som “Pretty Good Privacy”, men i praksis handler det især om kryptering og signering) er en metode til at gøre digitale beskeder og filer fortrolige og/eller verificerbare. Du kan bruge den til at:

  • kryptere indhold, så kun personer med den rette nøgle kan læse det
  • signere indhold, så modtageren kan se, at det med høj sandsynlighed kommer fra den rigtige afsender

Når målet er “total kontrol”, er det derfor vigtigt at skelne mellem kontrol over selve indholdet (hvad der sker med teksten/filen) og kontrol over resten af din online sikkerhed (hvilket også påvirkes af enhed, kontoopsætning, browsere, phishing osv.). PGP handler primært om kontrol over dataene, ikke over hele din internetforbindelse.

Et enkelt model: nøgler, der låser og bekræfter

Tænk på PGP som to typer nøglemateriale, der arbejder sammen:

  1. Offentlig nøgle: kan deles med andre, så de kan kryptere til dig og/eller kontrollere din signatur
  2. Privat nøgle: skal kun være tilgængelig for dig; den bruges til at dekryptere og til at lave signaturer

Hvis du vil sende en krypteret besked til en anden, får du typisk deres offentlige nøgle og bruger den til at gøre indholdet ulæsbart uden den tilhørende private nøgle. Hvis du vil signere, bruger du din private nøgle; modtageren bruger din offentlige nøgle til at kontrollere signaturen.

Det giver et mere direkte “kontrolgreb” end mange andre sikkerhedstilgange: du bestemmer, hvilke nøgler der bruges, og du kan kontrollere, om der forekommer kryptering og signering, når du modtager indhold.

Hvad PGP kan (og ikke kan)

PGP’s stærke sider

Fortrolighed af indhold: Når et budskab er krypteret med modtagerens offentlige nøgle, kan andre end modtageren normalt ikke læse indholdet uden den private nøgle.

Afsender-/integritetskontrol via signering: Signering gør det muligt for modtageren at kontrollere, at indholdet ikke er ændret undervejs, og at det matcher en signatur fra den påståede afsender (forudsat at modtageren stoler på den offentlige nøgle, der bruges til at validere signaturen).

Centrale begrænsninger

Tillid til nøgler er afgørende. PGP kan kun “hjælpe dig med at kontrollere” afsender og indhold, hvis du ved, at den offentlige nøgle faktisk tilhører den person, du tror den gør. Hvis en angriber får en anden nøgle ind i din “tillidskæde” (fx ved fejl i nøgleopsætning eller ved manglende verifikation), kan selv korrekt kryptering/signering give et falsk trygt billede.

PGP dækker ikke alt i din online sikkerhed. Hvis du eksempelvis klikker på phishing-links, kompromitterer din mailkonto eller får malware på enheden, kan PGP’s beskyttelse af selve beskeden stadig blive undermineret af, at angriberen får adgang til dit miljø (fx dine nøgler eller dine sessions). PGP er typisk en beskyttelse af data, mens resten af angrebsfladen kan ligge andre steder.

Det er primært en “data-lag”-løsning. Den beskytter ikke nødvendigvis dine øvrige datapunkter (metadata, forbindelser, adfærd) på samme måde som løsninger, der handler om netværkstransport. Om PGP passer til din konkrete trussel afhænger derfor af, om du især vil sikre indhold i beskeder/filer.

Undtagelser og det, der kan ændre resultatet

Selv med PGP kan du ramme ind i situationer, hvor “kontrollen” bliver mindre, end du forventer. De mest typiske er:

  • Du har ikke verifikationsgrundlag for den offentlige nøgle. Hvis du ikke har en rimelig måde at bekræfte nøglens ejerskab på, kan signaturverifikation føles overbevisende uden at være tillidsbaseret.
  • Din private nøgle er ikke beskyttet godt nok. Hvis den private nøgle ender i et usikkert miljø (fx ukrypteret lagring, svage adgangsforhold eller at den bliver taget fra din enhed), kan en angriber dekryptere indhold til dig og signere på dine vegne.
  • Du forventer “automatisk” beskyttelse mod alt. PGP kan beskytte krypterede beskeder, men det ændrer ikke automatisk, hvordan en platform håndterer login, spamfiltre, mails forud for kryptering, eller menneskelige fejl.
  • Fejl i nøglebrug i praksis. Forkert nøgle til modtager, forkert format, eller at man ikke registrerer nøglefingeraftryk kan skabe problemer, hvor du enten ikke kan dekryptere eller tror, du taler med den rigtige person.

Pointen er ikke at afvise PGP, men at præcisere: den del af sikkerheden, som “total kontrol” handler om, er stærkt koblet til nøgleprocessen—ikke kun til selve krypteringsalgoritmen.

Praktisk kontrol: hvad du selv kan tjekke

Hvis du vil bruge PGP for at øge din kontrol, kan du holde fokus på konkrete kontrolpunkter, du kan udføre uden at gætte:

  1. Tjek at du kan identificere nøgler entydigt. Arbejd med nøglefingeraftryk (i stedet for navne alene) og brug dem som grundlag for at afgøre, om nøglen virkelig tilhører den person, du kommunikerer med.

  2. Kontrollér kryptering og signering i den besked/fil, du sender og modtager. Vær opmærksom på, om indholdet faktisk er krypteret til modtageren og om signaturen verificerer korrekt med den offentlige nøgle.

  3. Beslut hvordan din private nøgle opbevares. Overvej hvilken adgang der er nødvendig for dig, og hvad der sker, hvis din enhed ændres, mistes eller får kompromittering. Målet er at reducere sandsynligheden for, at andre får fat i den private nøgle.

  4. Adskil PGP fra andre sikkerhedslag. Brug PGP til at beskytte indhold, men supplér med basisbeskyttelse i dine konti og på din enhed (fx opdateringer og anti-phishing-tænkning). På den måde får du en mere realistisk “samlet” sikkerhed.

Sammenfatning: total kontrol kræver nøglekontrol

PGP kan give dig tydelig kontrol over fortrolighed og verificerbarhed af digitale beskeder og filer, især når du både krypterer og signerer. Men den vigtigste nuance er, at din kontrol ikke kun ligger i “at PGP findes”—den ligger i, om du validerer de offentlige nøgler, beskytter din private nøgle, og forstår, at PGP typisk beskytter indhold frem for hele din online færden. Hvis du arbejder systematisk med nøgleprocessen, bliver “kontrol” mere konkret og mere efterprøvbar.