Pretty Good Privacy (PGP) uitgelegd

Pretty Good Privacy (PGP) is encryptiesoftware die symmetrische en asymmetrische encryptie gebruikt voor hoogstaande beveiliging om digitale diensten en communicatiesystemen te beschermen. PGP ondersteunt ook digitale handtekeningen om gegevensintegriteit en afzenderauthenticiteit te garanderen.

Basics

PGP is encryptiesoftware gemaakt door Phil Zimmerman om privacy, veiligheid en authenticatie voor online communicatiesystemen te waarborgen. Zimmerman maakte het eerste PGP-programma gratis beschikbaar als reactie op de groeiende vraag naar privacy.

Sinds de oprichting in 1991 zijn er verschillende versies van PGP-software ontwikkeld. In 1997 stelde Phil Zimmerman het IETF voor om een open-source PGP-standaard te creëren, wat werd geaccepteerd. Dit voorstel leidde tot de ontwikkeling van het OpenPGP-protocol, dat standaardformaten definieert voor encryptiesleutels en berichten.

PGP was aanvankelijk eigendom van PGP Inc, maar werd later overgenomen door Network Associates Inc. In 2010 verwierf Symantec Corp. PGP voor $300 miljoen. Tegenwoordig wordt de term PGP gebruikt als handelsmerk voor Symantecs OpenPGP-compatibele producten.

Aanvankelijk gebruikt om e-mailberichten en bijlagen te beveiligen, wordt PGP nu toegepast in verschillende use-cases zoals digitale handtekeningen, volledige schijfversleuteling en netwerkbescherming.

How Does PGP Work?

PGP is een hybride cryptosysteem dat symmetrische en asymmetrische encryptie inzet voor sterke beveiliging. Het was een van de eerste breed beschikbare programma's die publieke-sleutelcryptografie gebruikte.

Om het encryptieproces te starten worden onversleutelde tekstbestanden door PGP gecomprimeerd om ruimte en transmissietijd te besparen en om de beveiliging te vergroten. Na compressie wordt het gecomprimeerde tekstbestand versleuteld met een eenmalige sleutel, bekend als de sessiesleutel, die willekeurig wordt gegenereerd met symmetrische cryptografie. Elke PGP-communicatiesessie heeft zijn eigen unieke sessiesleutel.

Daarna wordt de sessiesleutel versleuteld met asymmetrische encryptie, waarbij de beoogde ontvanger zijn publieke sleutel aan de verzender verstrekt. In dit geval versleutelt Sarah bijvoorbeeld de sessiesleutel met Toms publieke sleutel om deze veilig via internet te delen. Deze stap zorgt ervoor dat de sessiesleutel veilig kan worden overgedragen, ongeacht de beveiligingsomstandigheden.

Het RSA-algoritme wordt vaak gebruikt voor de asymmetrische versleuteling van de sessiesleutel, net zoals bij andere encryptiesystemen zoals het Transport Layer Security (TLS)-protocol, dat een groot deel van het internet beveiligt.

Nadat Sarah de sessiesleutel heeft versleuteld, stuurt ze de versleutelde tekst en de versleutelde sessiesleutel naar Tom. Tom gebruikt zijn privésleutel om de sessiesleutel te ontsleutelen, die hij vervolgens gebruikt om de versleutelde tekst terug te zetten naar de oorspronkelijke onversleutelde tekst.

PGP biedt meer dan alleen encryptie en decryptie. Het ondersteunt ook digitale handtekeningen, die drie primaire functies hebben. De eerste functie is authenticatie: Tom kan met PGP verifiëren dat de afzender Sarah was. De tweede functie is integriteit: Tom kan controleren dat het bericht niet is aangepast. De derde functie is onweerlegbaarheid: nadat Sarah het bericht digitaal heeft ondertekend, kan ze niet ontkennen het te hebben verzonden.

Usage

PGP wordt veel gebruikt om e-mails te beveiligen door ze om te zetten in versleutelde tekst die een bijbehorende ontsleutelingssleutel vereist. Hetzelfde proces wordt gebruikt voor het beveiligen van tekstberichten en kan ook in andere apps worden toegepast. Naast het beveiligen van internetcommunicatie kan PGP worden gebruikt om individuele apparaten te versleutelen, zoals schijfpartities van computers en mobiele apparaten. Door de harde schijf te versleutelen vereist het systeem een wachtwoord bij elke opstart.

Pros of Using PGP

Privacy Without Speed Loss

Door zowel symmetrische als asymmetrische encryptie te gebruiken is PGP een krachtig hulpmiddel voor veilige communicatie dat de bescherming van gevoelige informatie waarborgt. Met PGP kunnen gebruikers gegevens en cryptografische sleutels versleutelen en veilig delen via internet. Dit hybride systeem biedt het beste van twee werelden: de sterke beveiliging van asymmetrische cryptografie en de hoge snelheid van symmetrische encryptie. Bovendien levert PGP digitale handtekeningen die gegevensintegriteit en afzenderauthenticiteit garanderen, wat een extra beschermingslaag toevoegt aan het communicatieproces.

OpenPGP Standard

Meerdere bedrijven en organisaties bieden PGP-oplossingen die voldoen aan het OpenPGP-protocol, waardoor een gestandaardiseerde, concurrerende omgeving ontstaat. Het goede nieuws is dat alle PGP-programma's die de OpenPGP-standaarden volgen interoperabel zijn. Bestanden en sleutels die in het ene programma zijn gemaakt, kunnen dus in een ander programma worden gebruikt zonder compatibiliteitsproblemen.

Cons of Using PGP

Entry Threshold

PGP-systemen hebben enkele nadelen waar gebruikers zich van bewust moeten zijn. Een daarvan is dat ze moeilijk te gebruiken en te begrijpen kunnen zijn, vooral voor mensen met beperkte technische kennis. Daarnaast vinden veel mensen de lange publieke sleutels onhandig.

EFAIL Vulnerability

De Electronic Frontier Foundation (EFF) publiceerde in 2018 een belangrijke kwetsbaarheid genaamd EFAIL. De kwetsbaarheid stelde aanvallers in staat toegang te krijgen tot onversleutelde versies van berichten via actieve HTML-inhoud in versleutelde e-mails. Sommige van de door EFAIL aangestipte problemen waren echter al bekend binnen de PGP-gemeenschap sinds de late jaren 1990, en de kwetsbaarheden hadden betrekking op verschillende implementaties van e-mailclients en niet op PGP zelf. Dus ondanks de krantenkoppen die alarm slaakten, blijft PGP zeer veilig en is het niet gekraakt.

Conclusion

PGP is sinds de oprichting in 1991 een cruciaal hulpmiddel voor gegevensbescherming. Het wordt nu in diverse toepassingen gebruikt en biedt beveiliging, authenticatie en privacy voor digitale diensten en communicatiesystemen. Ondanks de ontdekking van de EFAIL-kwetsbaarheid in 2018, die vragen opriep over de toepasbaarheid, blijft de kerntechnologie van PGP robuust en cryptografisch veilig. De beveiligingsniveaus van verschillende PGP-implementaties kunnen echter variëren.