Hvad er PGP-kryptering – og hvad beskytter det?

PGP (Pretty Good Privacy) er et system til at beskytte digitale beskeder og filer ved hjælp af kryptografi. I praksis bruges PGP typisk til to beslægtede formål: kryptering, så kun den tilsigtede modtager kan læse indholdet, og digitale signaturer, så modtageren kan kontrollere, at indholdet ikke er ændret, og at det stammer fra en bestemt nøgle.

Det vigtige at forstå er, at PGP ikke “magisk” beskytter alt omkring kommunikationen. Det beskytter selve indholdet, så længe du håndterer nøglerne rigtigt, og så længe den kryptografiske proces bliver brugt korrekt.

Et enkelt model: nøgler, kryptering og signaturer

En forenklet måde at tænke PGP på er som en “nøglepakke” med to typer nøgler:

  • Offentlig nøgle: kan deles med andre, så de kan kryptere beskeder til dig eller verificere din signatur.
  • Privat nøgle: skal holdes hemmelig, fordi den bruges til at dekryptere beskeder og signere.

Når du krypterer en besked til en modtager, bruger afsender typisk modtagerens offentlige nøgle, så kun modtageren kan åbne beskeden med sin private nøgle. Når du signerer en besked, bruger du din private nøgle, og andre kan bruge din offentlige nøgle til at verificere signaturen.

Opbygningen i PGP i praksis: hvad sker der, før du kan stole på indholdet?

For at PGP skal give mening i en konkret situation, bør du mental-checke tre punkter:

  1. Kender du den rigtige offentlige nøgle? PGP bygger på, at du bruger den rigtige offentlige nøgle for den person eller enhed, du kommunikerer med. Hvis du får en forkert nøgle ind, kan krypteringen blive sendt til en anden end den tilsigtede.

  2. Holder du den private nøgle sikker? Hvis din private nøgle kompromitteres, kan andre dekryptere indhold eller misbruge signaturer. Om en nøgle er “sikker” afhænger af, hvordan den opbevares og beskyttes lokalt.

  3. Er signaturen korrekt og bekræfter den integritet? En gyldig signatur hjælper med at vise, at indholdet ikke er ændret siden signering, og at signaturen matcher den offentlige nøgle. Det ændrer dog ikke på, at du stadig skal have tillid til, at den offentlige nøgle virkelig tilhører den rigtige afsender.

Forskelle og grænser: kryptering vs. signatur vs. “sikkerhed hele vejen”

Selv om PGP er stærkt, er der vigtige forskelle og begrænsninger, du bør tage med i vurderingen:

  • Kryptering beskytter mod læsning, men siger ikke automatisk noget om, hvem der sendte beskeden. Derfor bruger mange både kryptering og signatur.
  • Signaturer handler om autenticitet og integritet, men igen: Du skal stole på, at den offentlige nøgle, du verificerer imod, faktisk tilhører den rigtige part.
  • Metadata er ofte ikke krypteret på samme måde som selve indholdet. Selv med PGP kan visse oplysninger om kommunikationen (fx hvordan beskeden transporteres) forblive synlige afhængigt af den konkrete kanal.

En praktisk konsekvens er, at PGP’s sikkerhed ofte begrænses af “humane” og organisatoriske forhold: nøgleudveksling, nøgleverifikation, og korrekt håndtering af nøgler i dine enheder.

Undtagelser og typiske fejl, der ændrer resultatet

Når folk oplever, at PGP “ikke virker”, skyldes det ofte ikke kryptografien som sådan, men opsætning og praksis:

  • At bruge den rigtige nøgle forkert: Krypterer du til en nøgle, som du ikke har verificeret, får du muligvis ikke den beskyttelse, du forventer.
  • At genbruge eller kompromittere den private nøgle: Hvis en privat nøgle ender i de forkerte hænder, kan dekryptering og misbrug blive muligt.
  • Manglende kontrol af nøglernes troværdighed: Selvom en signatur er “teknisk gyldig”, kan du stadig være blevet snydt, hvis den offentlige nøgle ikke er korrekt knyttet til personen.

Det er her, den vigtigste nuance ligger: PGP kan være meget effektivt, men sikkerhed afhænger af, at nøglehåndteringen fungerer som tiltænkt.

Praktisk brug: sådan kan du selv kontrollere kvaliteten

Du kan bruge PGP mere sikkert ved at gøre din egen kontrol rutinebaseret. For eksempel:

  • Kontrollér nøglekilden: Hvor kom den offentlige nøgle fra, og hvordan kan du rimeligt bekræfte, at den tilhører den pågældende?
  • Hold øje med nøgleparret: Sørg for at du bruger din rigtige private nøgle til dekryptering og din rigtige offentlige nøgle til at verificere signaturer.
  • Kobl signatur og kryptering hvis du både vil beskytte læsning og have bedre grundlag for at vurdere afsender og ændringer.

Hvis du vil anvende PGP i en konkret arbejdsgang, er det en god idé at starte med små tests: afprøv kryptering og dekryptering, signér og verificér indhold, og evaluer derefter, hvor dine nøgleprocedurer er stærke eller sårbare.

Hvilken begrænsning kan være afgørende for dig?

Den største “forskydning” i PGP’s værdi ligger ofte i, hvor godt du kan håndtere nøglerne: at finde den rigtige offentlige nøgle, at beskytte den private nøgle og at verificere signaturer korrekt. Hvis den del ikke er stabil, kan selv god kryptografi give en følelse af sikkerhed uden den ønskede effekt.

Hvis du fortæller, hvordan du planlægger at bruge PGP (fx beskeder, filer, en bestemt platform eller en bestemt arbejdsgang), kan jeg hjælpe med en neutral kontrolliste til at vurdere, hvor risikoen typisk opstår—uden at det bliver en produktanbefaling.