DATA DA PUBLICAÇÃO 10/02/2009 | Informática
Saiba como criptografar arquivos e e-mails usando ferramentas gratuitas
O assunto iniciado na segunda-feira passada (2) foi a criptografia de e-mail e arquivos PGP, usando o sistema de chaves públicas e privadas. A coluna Segurança para o PC de hoje traz detalhes de como utilizar o padrão de criptografia PGP para proteger sua correspondência e arquivos digitais, usando ferramentas gratuitas. Antes de seguir, aconselho a leitura da coluna anterior sobre este assunto para entender os termos que serão usados abaixo.
Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e deixe-a na seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.
O PGP (“Pretty Good Privacy” - “Privacidade Muito Boa”, em tradução livre e literal) é desenvolvido primariamente pela PGP Corporation. O software deles, PGP Desktop, tem alguns recursos liberados gratuitamente. Infelizmente, alguns dos mais interessantes (criptografia automática de e-mail, disco virtual criptografado e proteção de disco rígido completo) só estão disponíveis para usuários que comprarem a versão registrada. Isso significa que, para usá-lo, você terá que fazer tudo manual.
Sendo esse o caso, é melhor utilizar uma alternativa de código aberto, o GNU Privacy Guard (GPG). Além de multiplataforma, é compatível com as chaves PGP. No Linux, ele geralmente está presente na distribuição ou nos repositórios, e existem vários aplicativos gráficos (Evolution, GPA, KPGP, Seahorse) para auxiliar seu uso. No Windows, o Gpg4win traz todas as ferramentas necessárias: o próprio GPG, duas interfaces gráficas (GPA e WinPT) e plugins para Microsoft Outlook (não confundir com Outlook Express) e Windows Explorer.
Em qualquer plataforma, usuários do Thunderbird podem instalar o Enigmail. Ele depende que o GPG esteja instalado, coisa que o Gpg4win já faz. É possível, sem problema algum, utilizar os programas do Gpg4win e o Enigmail ao mesmo tempo. Isso provavelmente será desejado, pois o Enigmail funciona apenas dentro do Thunderbird e fica bem integrado ao programa de e-mail.
Geração de chave
Antes de começar a usar o GPG, você terá que gerar um par de chaves contendo uma chave pública e uma chave privada.
Durante a geração de chave (Enigmail: Gerar > Novo Par de Chaves; GPA: Keys > New Key; WinPT: Key > New) você terá de preencher seu nome, e-mail e uma senha (preferencialmente em forma de frase). Outras opções disponíveis são a data de validade e o tipo de chave a ser gerada (El Gamal ou RSA), mas isso geralmente não é importante. Você pode querer alterar o número de bits para 4096, porém as operações com a chave serão mais demoradas. Não esqueça de confirmar que a hora configurada no seu PC está certa, para não gerar uma chave “no futuro”.
Assinatura de e-mail
Com essa alternativa, o destinatário do e-mail pode verificar se a mensagem de e-mail que você enviou realmente partiu de você. Para isso, basta assinar o e-mail.
Quando a mensagem for enviada, informações PGP serão adicionadas. Se o destinatário não estiver usando um programa de e-mail compatível, ele verá os códigos. Caso contrário, verá as informações de assinatura válida/inválida.
Não é recomendado usar HTML em mensagens assinadas. O HTML pode fazer com que a assinatura seja invalidada.
Criptografia de e-mail
Se é preciso proteger o conteúdo da mensagem contra vazamentos durante sua transmissão, será necessário criptografar o e-mail.
Para isso, no entanto, é indispensável ter em mãos as chaves públicas dos destinatários. Você pode obtê-las em um servidor de chaves (“Keyserver”, acessível em qualquer interface gráfica do GPG e no PGP Desktop) ou pedindo-a ao próprio destinatário em uma oportunidade que faça com que essa troca de chaves seja segura.
O Enigmail irá utilizar a chave pública correta para criptografar a mensagem. Somente o destinatário será capaz de visualizar seu conteúdo.
É possível assinar uma mensagem criptografada. Geralmente considera-se uma boa prática fazer ambos.
Assinatura e criptografia de arquivos
É possível criptografar arquivos de várias formas e com vários objetivos. Uma delas é a criptografia para si próprio. Se você tem alguma informação confidencial que quer acessar outra hora, mas não quer que ninguém mais a veja, mesmo no caso de roubo ou acesso indevido ao computador, você pode criptografar o conteúdo para você mesmo. Com isso, somente quem possuir a sua chave privada e a sua senha será capaz de decodificar o arquivo. Espera-se que a única pessoa que tenha essas duas informações (e a chave a senha) seja você.
Outra modalidade é a criptografia por chaves públicas. Essa permite que você escolha uma lista de destinatários para o arquivo. O conteúdo será codificado e somente esses destinatários poderão abri-lo, usando a chave privada que possuem.
Por fim, existe a criptografia simétrica. Ela permite que um arquivo seja criptografado com uma senha, como é feito com arquivos ZIP por exemplo. Nesse caso, a senha terá de ser compartilhada com quem for receber o arquivo, diferentemente da opção acima em que cada um usava sua própria senha e chave privada para abrir o arquivo.
Assim como e-mails, arquivos também podem ser assinados para garantir sua origem e integridade. Um software assinado que foi infectado por um vírus depois de distribuído, por exemplo, iria falhar em uma verificação de assinatura porque foi modificado.
Criptografia em área de transferência e outros
O WinPT, que acompanha o Gpg4win, permite que você codifique e decodifique sua área de transferência (o conteúdo que está para ser “colado” depois de uma operação de “copiar”).
Na prática, dá para trocar mensagens rápidas em qualquer meio usando a segurança do PGP. Basta selecionar a mensagem, copiá-la (CTRL+C), criptografar e colar (CTRL+V) o conteúdo já protegido. Para criptografar, incie o WinPT e clique com o botão direito no ícone perto do relógio e siga até o menu “Clipboard”.
Se você quer usar a segurança do PGP/GPG em um programa de mensagem instantânea, existe o plugin Pidgin-Encryption para o cliente multiprotocolo de mesmo nome. Uma conversa feita com essa proteção não poderia ser grampeada, seu conteúdo só poderia ser descoberto caso as chaves fossem roubadas e a senha quebrada ou revelada.
Lembre-se que, conforme explicado na coluna anterior, a eficiência e a segurança da criptografia dependem das chaves em que você vai confiar. De nada adianta querer enviar um e-mail criptografado para “João” se “José” se fez passar por ele para lhe dar uma chave pública falsa. Portanto tome cuidado antes de confiar nas chaves; por padrão, o PGP não confia em nenhuma chave que você não disser expressamente que confia.
A coluna de hoje acaba aqui, na esperança de que seu uso de PGP/GPG esteja se iniciando. O uso desses programas poderia aumentar consideravelmente a segurança no envio de arquivos e mensagens pela rede, mas é preciso que mais pessoas tomem conhecimento de sua existência e os utilizem. Infelizmente, não é possível aproveitar essas vantagens sozinho, porque todas as partes envolvidas na comunicação precisam ter o interesse em protegê-la. Até quarta-feira!
* Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades.
Na coluna “Segurança para o PC”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.
Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e deixe-a na seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.
O PGP (“Pretty Good Privacy” - “Privacidade Muito Boa”, em tradução livre e literal) é desenvolvido primariamente pela PGP Corporation. O software deles, PGP Desktop, tem alguns recursos liberados gratuitamente. Infelizmente, alguns dos mais interessantes (criptografia automática de e-mail, disco virtual criptografado e proteção de disco rígido completo) só estão disponíveis para usuários que comprarem a versão registrada. Isso significa que, para usá-lo, você terá que fazer tudo manual.
Sendo esse o caso, é melhor utilizar uma alternativa de código aberto, o GNU Privacy Guard (GPG). Além de multiplataforma, é compatível com as chaves PGP. No Linux, ele geralmente está presente na distribuição ou nos repositórios, e existem vários aplicativos gráficos (Evolution, GPA, KPGP, Seahorse) para auxiliar seu uso. No Windows, o Gpg4win traz todas as ferramentas necessárias: o próprio GPG, duas interfaces gráficas (GPA e WinPT) e plugins para Microsoft Outlook (não confundir com Outlook Express) e Windows Explorer.
Em qualquer plataforma, usuários do Thunderbird podem instalar o Enigmail. Ele depende que o GPG esteja instalado, coisa que o Gpg4win já faz. É possível, sem problema algum, utilizar os programas do Gpg4win e o Enigmail ao mesmo tempo. Isso provavelmente será desejado, pois o Enigmail funciona apenas dentro do Thunderbird e fica bem integrado ao programa de e-mail.
Geração de chave
Antes de começar a usar o GPG, você terá que gerar um par de chaves contendo uma chave pública e uma chave privada.
Durante a geração de chave (Enigmail: Gerar > Novo Par de Chaves; GPA: Keys > New Key; WinPT: Key > New) você terá de preencher seu nome, e-mail e uma senha (preferencialmente em forma de frase). Outras opções disponíveis são a data de validade e o tipo de chave a ser gerada (El Gamal ou RSA), mas isso geralmente não é importante. Você pode querer alterar o número de bits para 4096, porém as operações com a chave serão mais demoradas. Não esqueça de confirmar que a hora configurada no seu PC está certa, para não gerar uma chave “no futuro”.
Assinatura de e-mail
Com essa alternativa, o destinatário do e-mail pode verificar se a mensagem de e-mail que você enviou realmente partiu de você. Para isso, basta assinar o e-mail.
Quando a mensagem for enviada, informações PGP serão adicionadas. Se o destinatário não estiver usando um programa de e-mail compatível, ele verá os códigos. Caso contrário, verá as informações de assinatura válida/inválida.
Não é recomendado usar HTML em mensagens assinadas. O HTML pode fazer com que a assinatura seja invalidada.
Criptografia de e-mail
Se é preciso proteger o conteúdo da mensagem contra vazamentos durante sua transmissão, será necessário criptografar o e-mail.
Para isso, no entanto, é indispensável ter em mãos as chaves públicas dos destinatários. Você pode obtê-las em um servidor de chaves (“Keyserver”, acessível em qualquer interface gráfica do GPG e no PGP Desktop) ou pedindo-a ao próprio destinatário em uma oportunidade que faça com que essa troca de chaves seja segura.
O Enigmail irá utilizar a chave pública correta para criptografar a mensagem. Somente o destinatário será capaz de visualizar seu conteúdo.
É possível assinar uma mensagem criptografada. Geralmente considera-se uma boa prática fazer ambos.
Assinatura e criptografia de arquivos
É possível criptografar arquivos de várias formas e com vários objetivos. Uma delas é a criptografia para si próprio. Se você tem alguma informação confidencial que quer acessar outra hora, mas não quer que ninguém mais a veja, mesmo no caso de roubo ou acesso indevido ao computador, você pode criptografar o conteúdo para você mesmo. Com isso, somente quem possuir a sua chave privada e a sua senha será capaz de decodificar o arquivo. Espera-se que a única pessoa que tenha essas duas informações (e a chave a senha) seja você.
Outra modalidade é a criptografia por chaves públicas. Essa permite que você escolha uma lista de destinatários para o arquivo. O conteúdo será codificado e somente esses destinatários poderão abri-lo, usando a chave privada que possuem.
Por fim, existe a criptografia simétrica. Ela permite que um arquivo seja criptografado com uma senha, como é feito com arquivos ZIP por exemplo. Nesse caso, a senha terá de ser compartilhada com quem for receber o arquivo, diferentemente da opção acima em que cada um usava sua própria senha e chave privada para abrir o arquivo.
Assim como e-mails, arquivos também podem ser assinados para garantir sua origem e integridade. Um software assinado que foi infectado por um vírus depois de distribuído, por exemplo, iria falhar em uma verificação de assinatura porque foi modificado.
Criptografia em área de transferência e outros
O WinPT, que acompanha o Gpg4win, permite que você codifique e decodifique sua área de transferência (o conteúdo que está para ser “colado” depois de uma operação de “copiar”).
Na prática, dá para trocar mensagens rápidas em qualquer meio usando a segurança do PGP. Basta selecionar a mensagem, copiá-la (CTRL+C), criptografar e colar (CTRL+V) o conteúdo já protegido. Para criptografar, incie o WinPT e clique com o botão direito no ícone perto do relógio e siga até o menu “Clipboard”.
Se você quer usar a segurança do PGP/GPG em um programa de mensagem instantânea, existe o plugin Pidgin-Encryption para o cliente multiprotocolo de mesmo nome. Uma conversa feita com essa proteção não poderia ser grampeada, seu conteúdo só poderia ser descoberto caso as chaves fossem roubadas e a senha quebrada ou revelada.
Lembre-se que, conforme explicado na coluna anterior, a eficiência e a segurança da criptografia dependem das chaves em que você vai confiar. De nada adianta querer enviar um e-mail criptografado para “João” se “José” se fez passar por ele para lhe dar uma chave pública falsa. Portanto tome cuidado antes de confiar nas chaves; por padrão, o PGP não confia em nenhuma chave que você não disser expressamente que confia.
A coluna de hoje acaba aqui, na esperança de que seu uso de PGP/GPG esteja se iniciando. O uso desses programas poderia aumentar consideravelmente a segurança no envio de arquivos e mensagens pela rede, mas é preciso que mais pessoas tomem conhecimento de sua existência e os utilizem. Infelizmente, não é possível aproveitar essas vantagens sozinho, porque todas as partes envolvidas na comunicação precisam ter o interesse em protegê-la. Até quarta-feira!
* Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades.
Na coluna “Segurança para o PC”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.
Assine nosso Feed RSSAs últimas | Informática
19/09/2018 | Grupo Renault Nissan terá sistema operacional Android em seus carros
18/09/2018 | A corrida para a criação do computador mais poderoso da história
11/06/2018 | Google tira ovos de emoji de salada para agradar veganos
As mais lidas de Informática
Relação não gerada ainda
As mais lidas no Geral
Relação não gerada ainda