Hvad betyder “PGP-kryptering af din nøgle” i praksis?

Når folk siger, at de “PGP-krypterer deres nøgle”, mener de typisk en af to ting: at deres private nøgle er beskyttet, så uvedkommende ikke kan bruge den, eller at deres offentlige nøgle bruges til at kryptere beskeder, så kun bestemte modtagere kan læse dem. PGP i sig selv er et system til kryptering og/eller digitale signaturer baseret på kryptografiske nøgler, hvor ejerskabet af den private nøgle er centralt.

Det er vigtigt at få forventningerne på plads: PGP hjælper med indholdets fortrolighed og/eller dokumenternes integritet, men det er ikke det samme som at være anonym over for alle observatører. Selv hvis en besked er krypteret, kan der være oplysninger i den måde, kommunikationen foregår på (fx hvilke parter der kommunikerer, tidspunkt, kanalvalg og andre metadatastykker).

Et simpelt modelbillede: offentlig, privat og hvad der beskyttes

Tænk PGP som et nøglesæt med to roller:

  • Offentlig nøgle: Bruges af andre til at kryptere til dig og/eller kontrollere din signatur.
  • Privat nøgle: Bruges af dig til at dekryptere og til at signere.

“Dine handlinger med nøglen” påvirker altså sikkerheden sådan:

  1. Hvis din private nøgle kompromitteres, kan en angriber i praksis læse det, der er krypteret til dig, eller misbruge dine signaturer.
  2. Hvis din private nøgle beskyttes (fx via en adgangsfrase og sikker opbevaring), gør du det væsentligt sværere for uvedkommende at bruge den.
  3. Når andre krypterer med din offentlige nøgle, kan kun den, der har den matchende private nøgle, dekryptere indholdet.

Det er grunden til, at “kryptering af din nøgle” ofte handler mere om at beskytte den private nøgle end om selve krypteringsformatet.

Hvad PGP kan give: fortrolighed og signatur-integritet

PGP kan give to hovedgevinster, afhængigt af hvordan du bruger det:

  • Fortrolighed: Hvis du krypterer beskeder til en modtager ved brug af modtagerens offentlige nøgle, kan andre ikke læse indholdet direkte.
  • Integritet og autenticitetsmarkering: Hvis du signerer med din private nøgle, kan andre verificere, at signaturen matcher din offentlige nøgle.

Når du sigter mod “anonym online”, er det dog en misforståelse at tro, at PGP automatisk eliminerer identifikation. PGP beskytter primært data inde i beskeden og matematisk bevis for nøgleejerskab, ikke alt hvad der omgiver kommunikation.

Vigtige forskelle og begrænsninger: hvor anonymitet ofte falder fra hinanden

Hvis søgeintentionen er “at forblive anonym online”, bør du skelne mellem flere typer af information, som PGP ikke nødvendigvis kan skjule:

Identitet uden for beskeden

Selv når indholdet er krypteret, kan andre stadig udlede mønstre om, hvem der kommunikerer med hvem. PGP ændrer ikke nødvendigvis:

  • hvilken konto/kanal du bruger til at sende beskeder
  • hvilke metadata der følger med en besked
  • om du gentagne gange bruger den samme nøgle i sammenhænge, der kan sammenkædes

Nøglekobling og “sporbarhed”

PGP-nøgler kan i praksis blive forbundet med dig, hvis du bruger dem konsekvent i miljøer, hvor din identitet allerede er kendt. Det betyder ikke, at PGP er “meningsløst”, men at “anonym” ikke kun er et kryptografisk spørgsmål—det handler også om operational discipline.

Kompromittering af private nøgler

En anden grænse er, at sikkerheden kollapser, hvis den private nøgle kompromitteres. Det kan ske ved svag adgangsfrase, malware, fejlkonfiguration eller læk af nøglemateriale. I sådanne tilfælde kan en angriber læse eller misbruge det, som ellers ville være beskyttet.

Fejl i nøglens brug

PGP hjælper kun, hvis du bruger den rigtige offentlige nøgle, krypterer det, der skal krypteres, og dekrypterer korrekt. Hvis du sender ukrypterede dele af en samtale, kan privatlivsgevinsten blive mindre, end du tror.

Praktisk: hvad du kan tjekke for at vurdere “privatliv” i din opsætning

For at forstå, om PGP-kryptering af din nøgle faktisk hjælper din situation, kan du lave en egen kontrol med disse punkter:

  1. Er din private nøgle beskyttet?

    • Brug en stærk adgangsfrase og opbevar nøglefilen sikkert.

  2. Krypterer du de relevante dele?

    • Sørg for, at det indhold, du ønsker fortroligt, faktisk bliver krypteret til den korrekte modtager.

  3. Hvem kan verificere hvad?

    • Vær bevidst om, at signaturer kan knytte beskeder til en bestemt nøgle.

  4. Kan kommunikationsmønstre sammenkædes?

    • Overvej hvilke kanaler du bruger, og om de skaber metadata eller identifikation, som PGP ikke kan fjerne.

  5. Har du en plan hvis nøglen eksponeres?

    • Tænk igennem, hvordan du ville håndtere mistanke om kompromittering, så du ikke fortsætter med at stole på en nøgle, andre potentielt kan misbruge.

Til sidst: hvis dit mål er “at være anonym online”, er PGP kun én brik. Det kan styrke fortrolighed og integritet i selve beskederne, men anonymitet afhænger også af, hvordan du kommunikerer, hvor du gør det, og hvilke oplysninger der følger med uden kryptering.