Чтобы отправить зашифрованное сообщение OpenPGP, вы должны получить открытый ключ получателя, например, в сообщении, полученном от него или с публичного сервера ключей. Получив открытый ключ, вы также должны решить, хотите ли вы его принять, поскольку Thunderbird не может автоматически определить, заслуживает ли ключ доверия - ключ может быть подлинным или поддельным. Как вы определяете, является ли ключ подлинным или поддельным, чтобы иметь возможность решить, принимать ключ или нет, является предметом этой статьи.

Пример поддельного ключа

Очень легко создать открытый ключ с именем другого человека и адресом электронной почты. Например, некто Мэллори со злонамеренными намерениями может просто создать ключ, содержащий имя и адрес электронной почты вашего друга Боба, и отправить ключ вам. Если кто-то, кроме Боба, создал ключ, то это поддельный ключ.

Если вы затем решите использовать поддельный ключ от имени Боба, вы можете подумать, что у вас конфиденциальный разговор с Бобом, потому что вы используете шифрование электронной почты, в то время как на самом деле зашифрованное сообщение может прочитать злоумышленник Мэллори, который создал поддельный ключ от имени Боба. Это называется Атакой монстра посередине (MITM), также известной как Атака человека посередине.

Как решить, принимать ли открытый ключ

Чтобы избежать случайного использования поддельного ключа, Thunderbird никогда не будет автоматически использовать чей-либо ключ. Thunderbird всегда будет требовать, чтобы вы приняли решение принять ключ как подлинный. Вы также решаете, сколько работы вы хотите вложить в проверку подлинности ключа или подделки.

Если у вас редкие разговоры с корреспондентом, и вы считаете содержание вашего сообщения не очень конфиденциальным, вы можете пометить ключ как принятый, не проверяя, является ли ключ подлинным.

Однако, если вы намерены обмениваться важной информацией, и ваша свобода или ваша жизнь зависят от того, останется ли информация конфиденциальной, тогда вам следует тщательно убедиться, что вы получили подлинный ключ, что ключ действительно пришел от человека, с которым вы хотите переписываться. Вы можете сделать это, просмотрев сведения о ключе, а затем использовать канал связи, отличный от электронной почты, чтобы поговорить со своим корреспондентом. Затем каждый из вас должен просмотреть сведения об открытом ключе другого человека и посмотреть на показанный цифровой отпечаток. Цифровой отпечаток - это хэш полного ключа, своего рода контрольная сумма и, следовательно, уникальный способ идентификации ключа.

Пример процесса проверки

Чтобы объяснить этот процесс более подробно, если Алиса и Боб хотят убедиться, что они используют правильные ключи друг друга, они должны выполнить проверку в два этапа. На первом этапе Алиса откроет сведения о своем личном ключе, найдя его либо в диспетчере ключей OpenPGP, либо используя вкладку Сквозное шифрование в настройках учетной записи. Боб откроет детали полученного им ключа, который утверждает, что записан на имя Алисы. Затем Алиса должна прочитать цифровой отпечаток, который она видит на экране, для своего собственного ключа, а Боб должен прослушать и сравнить его с цифровым отпечатком, который отображается на его экране для ключа, который находится на имя Алисы. Если информация полностью совпадает, значит, Боб верифицировал ключ Алисы и может установить флажок с надписью "Да, я лично подтвердил, что у этого ключа правильный цифровой отпечаток".

В качестве второго шага Алиса и Боб должны повторить процесс, просмотрев ключ Боба. Боб должен открыть данные своего собственного ключа, а Алиса должна открыть ключ, который она получила и утверждает, что он на имя Боба. Затем Боб должен прочитать цифровой отпечаток, который он видит на экране для своего собственного ключа, а Алиса должна прослушать и сравнить его с информацией, которую она видит для ключа Боба. Если строка цифрового отпечатка полностью совпадает, значит, Алиса проверила ключ Боба и может установить флажок с надписью "Да, я лично проверила, что у этого ключа правильный цифровой отпечаток".