PGP (Pretty Good Privacy) è un software per la crittografia dei dati. È ampiamente utilizzato ed è diventato lo standard per la crittografia di e-mail e file, rendendolo un componente importante della cybersecurity. Questo articolo spiega in dettaglio cos’è la crittografia PGP, il suo scopo e le sue applicazioni reali, nonché in che modo e quando è opportuno utilizzarla.
Che cos’è la crittografia PGP?
PGP fornisce crittografia e autenticazione per i dati inattivi, ovvero non è un protocollo di comunicazione sicuro, ma cripta i file.
La crittografia PGP è stata sviluppata per la prima volta nel 1991 da Phil Zimmermann per criptare i messaggi tra attivisti politici. Da lì si è diffuso rapidamente online, diventando lo standard de-facto per la crittografia delle e-mail. PGP segue lo standard OpenPGP (basato su PGP stesso), che è ora utilizzato da numerose soluzioni di crittografia.
Come funziona la crittografia PGP
Il processo di crittografia PGP si basa su diversi componenti chiave:
- Chiavi pubbliche: Le chiavi pubbliche possono essere condivise con altri e utilizzate per verificare i dati e per crittografarli in modo che l’unico modo per decifrarli sia la chiave privata corrispondente.
- Chiavi private: Le chiavi private devono essere tenute segrete dal loro proprietario, poiché possono essere utilizzate per decifrare i dati firmati dalla loro chiave pubblica.
- Firme digitali: Le chiavi private sono utilizzate anche per creare firme digitali che possono essere verificate utilizzando la chiave pubblica corrispondente per garantire l’autenticità (che provenga dal proprietario della chiave privata) e l’integrità (che i dati non siano stati alterati) dei dati.
- Algoritmi di crittografia: PGP utilizza algoritmi di crittografia asimmetrica e simmetrica per proteggere i dati.
Il processo di crittografia PGP funziona come segue:
- Il mittente cripta i dati utilizzando una chiave di sessione generata casualmente e un algoritmo di crittografia simmetrica come AES.
- La chiave di sessione viene crittografata utilizzando la chiave pubblica del destinatario e un algoritmo di crittografia asimmetrica come RSA. Solo la chiave privata del destinatario sarà in grado di decifrare i dati.
- I dati crittografati e la chiave di sessione crittografata vengono preparati e sono pronti per essere inviati al destinatario.
Il processo di decrittografia PGP funziona come segue:
- La chiave privata del destinatario viene utilizzata per decifrare la chiave di sessione dal file crittografato PGP.
- I dati vengono quindi decifrati utilizzando la chiave di sessione, restituendo i dati originali.
Il processo di firma digitale PGP è un processo opzionale che verifica l’integrità e l’autenticità dei dati e funziona come segue:
- Il mittente crea un hash dei dati.
- La firma digitale viene creata criptando l’hash con la chiave privata del mittente.
- La firma viene allegata ai dati crittografati.
La firma può quindi essere verificata quando i dati vengono decifrati:
- La chiave pubblica del mittente viene utilizzata per decifrare la firma digitale.
- Viene creato l’hash dei dati decifrati.
- Se gli hash corrispondono, l’integrità e l’autenticità dei messaggi vengono confermate.
Usi ed esempi di crittografia PGP nella pratica
Esempi di utilizzo della crittografia PGP possono essere visti in una serie di casi d’uso diffusi, tra cui:
- Crittografia delle e-mail: PGP è lo standard de-facto per la crittografia delle e-mail (che impedisce a chiunque di intercettare e leggere le tue e-mail senza la chiave di decrittazione) e può essere utilizzato nei client e provider di posta elettronica più diffusi, come Outlook e Gmail.
- Crittografia dei dati: I file archiviati sul computer, sulle chiavette USB, sui CD o su altri supporti di archiviazione possono essere crittografati con PGP, al fine di inviarli in modo sicuro (via e-mail o anche per posta). Un popolare strumento multipiattaforma è GnuPG.
- Firma dei documenti: L’autenticità e l’integrità di un documento possono essere confermate utilizzando il PGP: il proprietario del documento firma il documento con la sua chiave privata e il destinatario del documento lo verifica utilizzando la chiave pubblica del proprietario.
- Firma del software: Come la firma dei documenti, la firma del software garantisce che l’origine di un programma sia legittima e che il codice non sia stato manomesso, contribuendo a proteggere dal codice dannoso.
Sfide e limiti del PGP
Sfortunatamente, GnuPG e altri software PGP gratuiti tendono a essere orientati alla riga di comando e non sono facili da usare. Sebbene esistano plugin per i client di posta elettronica e i browser di file che rendono il PGP più facile da usare, non comprendere appieno il funzionamento del PGP può portare a configurazioni errate che compromettono la sicurezza.
Anche la gestione della chiave PGP è un problema: devi saper mantenere l’integrità della tua chiave privata (cioè proteggerla dalla corruzione o dalla perdita) e la sua sicurezza (se qualcun altro la ottiene, può impersonare te e decriptare i tuoi messaggi). Inoltre, sarà necessario gestire le chiavi pubbliche dei tuoi contatti, garantendo che siano trasmesse e conservate in modo sicuro, in modo che non possano essere manomesse, e assicurandoti di non perderle. Devi anche proteggere la tua chiave privata con una passphrase complessa (e non dimenticarla mai!).
Se i dati vengono crittografati con PGP e perdi le chiavi di crittografia, c’è anche il rischio di perdere i dati. È fondamentale eseguire backup regolari per garantire che i dati importanti non siano a rischio a causa di guasti hardware, furti, incidenti di sicurezza informatica o disastri.
Il PGP è uno strumento essenziale per la protezione dei dati inattivi
Il PGP è una parte importante della privacy e della sicurezza dei dati, soprattutto quando si tratta di dati degli utenti coperti da normative sulla privacy come GDPR, CCPA e HIPAA. La crittografia e la protezione delle e-mail e dei file di dati fanno parte delle tue responsabilità per la protezione di tali informazioni, così come la garanzia che la tua infrastruttura IT e gli endpoint siano protetti da intrusioni, manomissioni e interruzioni.
