PGP (skratka angl. slov Pretty Good Privacy) znamená dosť dobré súkromie. Je to šifrovací softvér navrhnutý tak, aby pre online komunikačné systémy poskytoval súkromie, bezpečnosť a overovanie. Za prvým programom PGP stojí meno Phil Zimmerman a podľa neho bol voľne dostupný z dôvodu rastúceho spoločenského dopytu po súkromí.
Od svojho vzniku v roku 1991 bolo vytvorených mnoho verzií softvéru PGP. V roku 1997 predložil Phil Zimmerman pracovnej skupine Internet Engineering Task Force (IETF) návrh na vytvorenie štandardu PGP s otvoreným zdrojovým kódom. Návrh bol prijatý a viedol k vytvoreniu protokolu OpenPGP, ktorý definuje štandardné formáty pre šifrovacie kľúče a správy.
Hoci pôvodne sa softvér PGP používal iba na zabezpečenie e-mailových správ a príloh, v súčasnosti má množstvo prípadov použitia vrátane digitálnych podpisov, úplného šifrovania disku a ochrany siete.
Softvér PGP pôvodne vlastnila spoločnosť PGP Inc, ktorú neskôr získala spoločnosť Network Associates Inc. V roku 2010 spoločnosť Symantec Corp. získala PGP za 300 miliónov USD. Táto skratka je teraz ochrannou známkou používanou pre ich produkty kompatibilné s OpenPGP.
Ako to funguje?
PGP patrí medzi prvý široko dostupný softvér na implementáciu kryptografie s verejným kľúčom. Ide o hybridný kryptosystém, ktorý využíva symetrické aj asymetrické šifrovanie na dosiahnutie vysokej úrovne bezpečnosti.
V základnom procese šifrovania textu sa čistý text (údaje, ktorým je možné jasne porozumieť) prevedie na šifrovaný text (nečitateľné údaje). Ale predtým, než dôjde k procesu šifrovania, väčšina systémov PGP uskutoční komprimáciu údajov. Komprimáciou súborov vo formáte obyčajného textu pred ich prenosom šetrí PGP miesto na disku aj čas prenosu a zároveň zvyšuje bezpečnosť.
Po komprimácii súboru sa začína samotný proces šifrovania. V tejto fáze sa skomprimovaný súbor s obyčajným textom zašifruje pomocou jednorazového kľúča, ktorý je známy ako kľúč relácie. Tento kľúč sa náhodne generuje pomocou symetrickej kryptografie a každá komunikačná relácia PGP má jedinečný kľúč relácie.
Ďalej je samotný kľúč relácie (1) zašifrovaný pomocou asymetrického šifrovania: určený príjemca (Bob) poskytne svoj verejný kľúč (2) odosielateľovi správy (Alica), aby mohla zašifrovať kľúč relácie. Tento krok umožňuje Alici bezpečne zdieľať kľúč relácie s Bobom cez internet bez ohľadu na bezpečnostné podmienky.
Asymetrické šifrovanie kľúča relácie sa zvyčajne vykonáva pomocou algoritmu RSA. Mnoho ďalších šifrovacích systémov používa algoritmus RSA vrátane protokolu Transport Layer Security (TLS), ktorý zabezpečuje veľkú časť internetu.
Po prenesení šifrovaného textu správy a šifrovaného kľúča relácie môže Bob použiť svoj súkromný kľúč (3) na dešifrovanie kľúča relácie, ktorý sa potom použije na dešifrovanie šifrovaného textu späť na pôvodný otvorený text.
Okrem základného procesu šifrovania a dešifrovania podporuje softvér PGP aj digitálne podpisy. Tie poskytujú minimálne tri funkcie:
Overenie: Bob môže overiť, že odosielateľom správy bola Alica.
Integrita: Bob si môže byť istý, že správa nebola zmenená.
Nepopierateľnosť: Po digitálnom podpise správy Alica nemôže tvrdiť, že ju neodoslala.
Prípady použitia
Jedným z najbežnejších spôsobov použitia softvéru PGP je zabezpečenie e-mailov. E-mail, ktorý je chránený pomocou softvéru PGP, sa zmení na reťazec znakov, ktoré sú nečitateľné (zašifrovaný text) a možno ich rozlúštiť iba pomocou zodpovedajúceho dešifrovacieho kľúča. Mechanizmy fungovania sú prakticky rovnaké aj pre zabezpečenie textových správ. Existujú aj softvérové aplikácie, ktoré umožňujú implementáciu softvéru PGP nad ostatné aplikácie, čím efektívne pridávajú šifrovací systém k nezabezpečeným službám odosielania správ.
Hoci sa softvér PGP väčšinou používa na zabezpečenie internetovej komunikácie, dá sa použiť aj na šifrovanie jednotlivých zariadení. V tomto kontexte je možné softvér PGP použiť na oddiely pevného disku počítača alebo mobilného zariadenia. Zašifrovaním pevného disku sa od používateľa bude vyžadovať zadanie hesla pri každom spustení systému.
Výhody a nevýhody
Vďaka kombinovanému použitiu symetrického a asymetrického šifrovania umožňuje PGP používateľom bezpečne zdieľať informácie a kryptografické kľúče cez internet. Ako hybridný systém PGP ťaží z bezpečnosti asymetrickej kryptografie a rýchlosti symetrického šifrovania. Okrem bezpečnosti a rýchlosti zaisťujú digitálne podpisy integritu údajov a pravosť odosielateľa.
Protokol OpenPGP umožnil vznik štandardizovaného konkurenčného prostredia a riešenia PGP teraz poskytuje viacero spoločností a organizácií. Napriek tomu sú všetky programy PGP, ktoré sú v súlade so štandardmi OpenPGP, navzájom kompatibilné. To znamená, že súbory a kľúče vygenerované v jednom programe môžu byť bez problémov použité v inom programe.
Pokiaľ ide o nevýhody, systémy PGP nie sú také jednoduché na používanie a pochopenie, najmä pre používateľov so slabými technickými znalosťami. Veľkú dĺžku verejných kľúčov tiež mnohí považujú za dosť nepohodlnú.
V roku 2018 nadácia Electronic Frontier Foundation (EFF) zverejnila veľkú zraniteľnosť s názvom EFAIL. EFAIL umožňovala útočníkom zneužiť aktívny obsah HTML v šifrovaných e-mailoch na získanie prístupu k verziám správ v otvorenom texte.
Niektoré z obáv popísaných v EFAIL však komunita PGP poznala už od konca 90. rokov minulého storočia. V skutočnosti sa tieto zraniteľnosti týkajú rôznych implementácií na strane e-mailových klientov, a nie samotného PGP. Takže aj napriek alarmujúcim a zavádzajúcim titulkom nie je softvér PGP narušený a stále poskytuje vysokú bezpečnosť.
Záverečné myšlienky
Od vývoja v roku 1991 je PGP základným nástrojom na ochranu údajov. V súčasnosti sa používa v rôznych aplikáciách, ktoré poskytujú súkromie, bezpečnosť a overenie pre množstvo poskytovateľov komunikačných systémov a digitálnych služieb.
Zatiaľ čo objavenie chyby EFAIL v roku 2018 vyvolalo značné obavy o životaschopnosť protokolu, základná technológia je stále považovaná za robustnú a kryptograficky bezchybnú. Je nutné poznamenať, že rôzne implementácie softvéru PGP môžu predstavovať rôzne úrovne bezpečnosti.