Liten guide till GPG

Mina damer och herrar! I dessa tider av inskränkningar av den personliga friheten och avlyssiningar hit och dit är det naturligt att man vill vara lite mer anonym. FRA övervakar ju bara trafik som korsar landets gränser, så det går ju bra om man chattar  eller mailar med en i sverige? FEL! Man kan inte veta vilken väg ens meddelande tar, och många av servrarna som hanterar msn, hotmail, gmail, etc. ligger utomlands.

Det finns flera sätt att kryptera sina mail och sina chattkonversationer. De två “största” är OTR och GPG, och GPG är det jag tänkte gå igenom här. (OTR är endast till för chatt – och är enligt mig också mer passande än gpg för just chatt, då det är ganska mycket enklare och har fördelar som gpg inte har)

Hur fungerar GPG?

GPG bygger på öppna och privata nycklar. Privata nycklar är det du har själv, och öppna nycklar är det du skickar till dina vänner så att ni ska kunna skicka data till varandra. För att kryptera data använder man sig av den öppna nyckeln, och för att dekryptera använder man sig av sin privata nyckel. Tänk dig följande scenario:

Alice har ett superhemligt meddelande som hon av någon anledning vill skicka med mail till Bob. Hon har Bobs öppna nycklel och krypterar därför det hon ska skicka till honom. Han tar emot meddelandet och dekrypterar meddelandet med sin privata nyckel.

Detta har flera fördelar. Man kan sprida sin öppna nyckel till hur många som helst, utan att säkerheten för ens meddelanden äventyras. Blir man däremot av med sin privata nyckel är det ju mindre bra. Då kan den som har den privata nyckeln (och lösenordet som man använder till den) dekryptera meddelanden är dekrypterade med ens öppna nyckel; säkerheten blir noll.

Om en tredje part (Mallory) har – gud förbjude – fått tag på Bobs privata nyckel så kan hon läsa meddelandena som Alice skickar till Bob. Då kan hon också ändra meddelandena som Alice skickar och kryptera dem igen med Bobs öppna nyckel. Detta är, som ni förstår, en riktigt farlig situation. Lösningen på detta heter signering.

Signering är en process som går åt andra hållet. Du använder din privata nyckel för att generera en checksumma som sedan kan verifieras med din öppna nyckel (som alla dina vänner har). Detta skulle lösa ovanstående problem på följande sätt:

Alice har krypterat och signerat sitt meddelande, och för att Mallory ska kunna upprepa ovanstående attack måste hon ha både Alice och Bobs privata nycklar. Dels för att dekryptera Alice meddelande till bob för att kunna ändra det (med Bobs privata nyckel), och dels för att signera meddelandet för att försäkra Bob om att inget har fipplat med meddelandet. Därför är det alltid rekommenderat att signera sina krypterade meddelanden och att alltid kräva att den som sänder dig ett krypterat meddelande signerar det.

Vad kostar det?

Det är kanske det bästa: ingenting. GPG är öppen källkod, och är således gratis för alla att använda.

Så hur gör man?

Det finns flera olika grafiska program för att göra det lätt att använda GPG. Till Linux finns det två stycken jag känner till. Det jag använder är Kgpg till KDE4, som är en del av paketet kdeutils (finns även till kde3). Manualen för kgpg i kde4 finns HÄR, och i kde3 finns den HÄR. En annan liten guide finns HÄR. Använder man Gnome är det Seahorse som är att rekommendera. Jag tror att seahorse följer med i Gnome (i alla fall i Ubuntu som en del av “gnome-desktop”). Dokumentationen för Seahorse finner du HÄR.

I windows använder man sig av Gpg4win.

Gnome

I gnome är det, så vitt jag kan se, inget större arbete att få det att fungera. Det finns två klienter. Evolution och Thunderbird. I Evolution finns det en nyckelhanterare med i programmet (dokumentation i pdf-format finns HÄR), och i thunderbird så installerar man Enigmail. Enigmail har en fin guide för detta, och den finner ni HÄR. Jag tror att det är bra att använda Seahorse för att ta hand om sina nycklar, då det är ett program som kan ge ytterligare integrering av GPG i Gnome. GPG handlar inte bara om email.

KDE

Kdes mailklient Kmail har inbyggt stöd för gpg, men av egen erfarenhet vet jag att det inte alltid är så lätt. Det blir heller inte lättare av att KDEs dokumentation är i en bedrövlig form (kmails dokumentation och sidan about:blank visar slående likheter). Jag förutsätter att du har ett mailkonto och en gpg-nyckel klar (se manualen för kgpg ovan). I inställningarna för kmail går du in under “identities”/”identiteter” och väljer den identitet du vill använda (förmodligen finns där bara en). Markera den och tryck på “Modify”/”Ändra”. Du får nu upp ett till fönster. I det nya fönstret väljer du “Cryptography”/”Kryptografi”. Där finns det två saker du ska göra. Du ska välja din privata nyckel som ska användas för att signera och dekrpytera meddelanden, och du ska välja din öppna nyckel som ska användas för att kryptera data om du skickar till dig själv eller om du ka bifoga din nyckel.

Det hela är ganska rakt på. När du nu har gjort det så ska det inte vara några problem att signera och kryptera mail. När du nu skriver ett mail med kmail å finns det två knappar i verktygsraden; “Sign”/”Signera” och “Encrypt”/”Kryptera”. Tryck på den som motsvarar det du vill göra.

Det är här det blir problem, i alla fall med signering. Får du upp ett error med texten “Bad passphrase”/”på svenska har jag ingen aning om hur dom översatt det, men typ Felaktigt lösen” så kan du ju ta en titt HÄR. Det är typ allt. HÄR finns också en liten bildguide.

Windows

Här tar mitt vetande slut. I gpg4win ingår en outlook-plugin, men jag saknar outlook, så jag kan inte själv testa detta, och någon dokumentation finner jag inte. Däremot kan man, om man använder thunderbird som sin mailklient, använda sig av Enigmail. På den hemsidan finns också en fin guide om hur man använder det. Jag tror dock själv att det bästa är att använda gpg4wins egna program för att hantera dina nycklar, då det ger ytterligare integrering i windows. GPG handlar inte bara om email.

Tack för mig

Jag tackar för mig, och hoppas att i alla fall någon hade nytta av denna guide.

- Linus

Liten guide till GPG by Linus Berglund is licensed under a Creative Commons Attribution 2.5 Sweden License.