Aby wysłać zaszyfrowaną wiadomość OpenPGP, musisz uzyskać klucz publiczny odbiorcy, na przykład z otrzymanej od niego wiadomości lub z publicznego serwera kluczy. Po uzyskaniu klucza publicznego musisz również zdecydować, czy chcesz go zaakceptować, ponieważ Thunderbird nie może automatycznie określić, czy klucz jest godny zaufania - klucz może być autentyczny lub podrobiony. Jak określić, czy klucz jest autentyczny czy fałszywy, aby móc zdecydować, czy zaakceptować klucz czy nie, jest tematem tego artykułu.

Przykładowy podrobiony klucz

Jest bardzo łatwo stworzyć dla kogoś klucz publiczny z imieniem i adresem e-mail innej osoby. Na przykład, haker ze złymi zamiarami może po prostu stworzyć klucz, który zawiera nazwę i adres e-mail twojego przyjaciela Bartka, i wysłać klucz do ciebie. Jeśli ktoś inny niż Bartek stworzył ten klucz, to jest to klucz podrobiony.

Jeśli następnie zdecydujesz się użyć fałszywego klucza użytego w imieniu Bartka, możesz wierzyć, że prowadzisz poufną rozmowę z Bartkiem, ponieważ używasz szyfrowania wiadomości e-mail, podczas gdy w rzeczywistości zaszyfrowana wiadomość jest możliwa do odczytania przez hakera, który stworzył fałszywy klucz w imieniu Bartka. Nazywa się to atakiem typu Monster-in-the-Middle-Attack (MITM), znanym również jako Man-in-the-Middle-Attack.

Jak zdecydować, czy zaakceptować klucz publiczny?

Aby uniknąć przypadkowego użycia fałszywego klucza, Thunderbird nigdy nie użyje automatycznie czyjegoś klucza. Thunderbird zawsze wymaga, abyś sam podjął decyzję o zaakceptowaniu klucza jako autentycznego. Ty również decydujesz, ile pracy chcesz poświęcić na sprawdzenie, czy klucz jest autentyczny czy fałszywy.

Jeśli prowadzisz swobodne rozmowy z korespondentem i uważasz, że treść wiadomości nie jest bardzo wrażliwa, możesz zdecydować się na oznaczenie klucza jako zaakceptowanego bez sprawdzania, czy klucz jest autentyczny.

Jeśli jednak zamierzasz wymieniać krytyczne informacje, a od tego, czy informacje pozostaną poufne, zależy Twoja wolność lub życie, to powinieneś dokładnie sprawdzić, czy otrzymałeś autentyczny klucz, czy rzeczywiście pochodzi on od osoby, z którą chcesz korespondować. Można to zrobić przeglądając szczegóły klucza, a następnie korzystając z innego niż e-mail kanału komunikacji porozmawiać z korespondentem. Następnie każdy z Was powinien obejrzeć szczegóły klucza publicznego drugiej osoby i spojrzeć na podany odcisk klucza. Odcisk klucza to hash pełnego klucza, rodzaj sumy kontrolnej, a więc unikalny sposób identyfikacji klucza.

Przykładowy proces weryfikacji

Aby wyjaśnić ten proces bardziej szczegółowo, gdyby Alicja i Bartek chcieli się upewnić, że używają nawzajem swoich poprawnych kluczy, przeprowadziliby weryfikację w dwóch krokach. W pierwszym kroku Alicja otworzyłaby szczegóły swojego osobistego klucza, znajdując go albo w menedżerze kluczy OpenPGP, albo korzystając z zakładki Szyfrowanie „end-to-end” w ustawieniach konta. Bartek otworzyłby szczegóły uzyskanego przez siebie klucza, który twierdzi, że jest na nazwisko Alicji. Następnie Alicja powinna odczytać odcisk klucza, który widzi na ekranie dla swojego własnego klucza, a Bartek powinien go wysłuchać i porównać z odciskiem klucza, który jest wyświetlany na jego ekranie dla klucza, który został wygenerowany w imieniu Alicji. Jeśli informacje w pełni się zgadzają, to Bartek zweryfikował klucz Alicji i może zaznaczyć pole wyboru z opisem "Tak, zweryfikowano osobiście, że to właściwy odcisk klucza".

W drugim kroku Alicja i Bartek powinni powtórzyć proces, przeglądając klucz Bartka. Bartek powinien otworzyć szczegóły swojego własnego klucza, a Alicja powinna otworzyć klucz, który uzyskała i twierdzi, że jest na nazwisko Bartka. Następnie Bartek powinien przeczytać odcisk klucza, który widzi na ekranie dla swojego własnego klucza, a Alicja powinna go wysłuchać i porównać z informacją, którą widzi wyświetloną dla klucza Bartka. Jeśli ciąg odcisku klucza w pełni się zgadza, to Alicja zweryfikowała klucz Bartka i może kliknąć pole wyboru z opisem "Tak, zweryfikowano osobiście, że to właściwy odcisk klucza".