ΓΙΑ ΕΝΗΜΕΡΩΣΗ. ---------- Forwarded message ---------- From: Manolis Tzanidakis <manolis [ at ] eellak [ dot ] gr> Date: 2014-04-08 17:57 GMT+03:00 Subject: 1st draft του PGP manual για ΚΥΒΕΡΝΟΠΟΛΕΜΟ To: Panagiotis Kranidiotis <panagiotis [ dot ] kranidiotis [ at ] gmail [ dot ] com> Cc: Εταιρεία Ελεύθερου Λογισμικού <info [ at ] eellak [ dot ] gr> Επισυνάπτω ένα πρώτο draft σαν αναφορά (και back-up). -- http://www.eellak.gr/, http://mycontent.ellak.gr/, http://www.creativecommons.gr/, http://mathe.ellak.gr/, http://fablabathens.gr/
<!DOCTYPE html> <head> <meta http-equiv="content-type" content="text/html; charset=utf-8"> <title>Εισαγωγή στο OpenPGP και το key signing party</title> </head> <body> <h1>Εισαγωγή στο OpenPGP και το key signing party</h1> <h2 id="intro">1. Εισαγωγή</h2> <h3>1.1 Βασικές έννοιες</h3> <h4>1.1.1 Κρυπτογραφία Δημoσίου Κλειδιού</h4> <p>Οι κλασσικές μέθοδοι κρυπτογραφίας χρησιμοποιούν ένα μόνο κλειδί για την κρυπτογράφηση και αποκρυπτογράφηση. Ο αποστολέας ενός μηνύματος χρησιμοποιεί αυτό το κλειδί για να κρυπτογραφήσει το μήνυμα και ο παραλήπτης του μηνύματος χρειάζεται το ίδιο κλειδί για να μπορέσει να το αποκρυπτογραφήσει και να το διαβάσει. Το πρόβλημα που εγείρει αυτή η μέθοδος κρυπτογραφίας είναι η παράδοση του κλειδιού στον παραλήπτη, χωρίς να υποκλαπεί από τρίτους. Πρόβλημα που εντείνεται όταν πρόκειται για επικοινωνίες σε διακρατική ή διηπειρωτική κλίμακα.</p> <p>Η <em>Κρυπτογραφία Δημoσίου Κλειδιού</em> δημιουργήθηκε για να λύσει αυτό το πρόβλημα. Αντί για ένα κλειδί μόνο, σε αυτή τη μέθοδο χρησιμοποιούνται δύο, το Δημόσιο και το Ιδιωτικό. Το Δημόσιο κλειδί μπορεί να διαμοιραστεί με οποιοδήποτε μέσο, είτε με φυσική παρουσία — για παράδειγμα μέσω αντιγραφής σε USB flash stick — είτε ψηφιακά, όπως με αποστολή μέσω e-mail ή ανάρτηση σε κάποια ιστοσελίδα ή μέσο κοινωνικής δικτύωσης.</p> <p>Το Δημόσιο κλειδί μπορεί να το αποκτήσει οποιοσδήποτε χωρίς να επηρεαστεί η ασφάλεια αυτής της μεθόδου κρυπτογραφίας. Είναι αδύνατο να παραχθεί το Ιδιωτικό κλειδί από το Δημόσιο, εφόσον δεν υπάρχουν παραλείψεις ή λάθη στην υλοποίηση της μεθόδου κρυπτογραφίας. Αντίθετα, το Ιδιωτικό κλειδί είναι διαθέσιμο μόνο στον ιδιοκτήτη του, είναι μυστικό και δεν πρέπει να περάσει στην κυριότητα τρίτων.</p> <p>Για να στείλει κάποιο μήνυμα χρησιμοποιώντας αυτή τη μέθοδο, ο αποστολέας πρέπει να γνωρίζει το Δημόσιο κλειδί του παραλήπτη, το οποίο και θα χρησιμοποιήσει για να κρυπτογραφήσει το μήνυμα. Στη συνέχεια, ο παραλήπτης — και μόνο αυτός — μπορεί να αποκρυπτογραφήσει αυτό το μήνυμα με το Ιδιωτικό κλειδί του.</p> <h4>1.1.2 Ψηφιακές Υπογραφές</h4> <p>Σε πολλές περιπτώσεις χρειάζεται μόνο η επιβεβαίωση ότι ένα μήνυμα έχει δημιουργηθεί όντως από τον αποστολέα και το περιεχόμενο του μηνύματος δεν έχει αλλοιωθεί από τρίτους, χωρίς όμως να απαιτείται το μήνυμα αυτό καθαυτό να σταλλεί κρυπτογραφημένο. Για παράδειγμα, μία δημοσίευση σε μία ιστοσελίδα με αποδέκτη το ευρύ κοινό μπορεί να επιβεβαιωθεί ότι είναι αληθής και o συγγραφέας της είναι όντως αυτός που την υπογράφει.</p> <p>Για το σκοπό αυτό εφευρέθηκε η έννοια της <em>Ψηφιακής Υπογραφής</em> με τη χρήση της Κρυπτογραφίας Δημοσίου Κλειδιού. Ο αποστολέας «υπογράφει» το μήνυμα του χρησιμοποιώντας το Ιδιωτικό κλειδί του και η ψηφιακή αυτή υπογραφή ενσωματώνεται στο ίδιο το μήνυμα. Στη συνέχεια οποιοσδήποτε διαθέτει το Δημόσιο κλειδί του αποστολέα μπορεί να επιβεβαιώσει την αυθεντικότητα του μηνύματος.</p> <h4>1.1.3 Κύκλος Εμπιστευτικότητας</h4> <p>Μία αδυναμία που παρουσιάζει η μέθοδος Κρυπτογραφίας Δημοσίου Κλειδιού έχει να κάνει με τη δημοσιοποίηση των Δημοσίων κλειδιών. Ουσιαστικά, οποιοσδήποτε μπορεί να δημιουργήσει ζεύγη ψευδών Ιδιωτικών και Δημοσίων κλειδιών με το όνομα κάποιου άλλου. Δημοσιεύοντας αυτό το ψεύτικο Δημόσιο Κλειδί, ο επιτιθέμενος μπορεί να προσποιηθεί την ταυτότητα του θύματος και να παραπλανήσει τρίτους ή να αποκτήσει πρόσβαση σε απόρρητα μηνύματα που αφορούν το θύμα.</p> <p>Η λύση που υιοθετήθηκε από το πρωτόκολλο <a href="http://www.openpgp.org/";>OpenPGP</a> (ανοικτό πρωτόκολλο Κρυπτογραφίας Δημοσίου Κλειδιού) για αυτό το πρόβλημα είναι η ψηφιακή υπογραφή των ίδιων των κλειδιών. Ένα Δημόσιο κλειδί μπορεί να υπογραφεί ψηφιακά από άλλους και η υπογραφή αυτή πιστοποιεί ότι το κλειδί αυτό ανήκει όντως στον φερόμενο ως ιδιοκτήτη του, ή πιο σωστά χρησιμοποιείται από το User Identification (UID) του.</p> <p>Ένα κλειδί μπορεί να θεωρηθεί ως αυθεντικό όταν γνωρίζουμε ότι όντως ανήκει στο άτομο στο οποίο αναφέρεται. Για παράδειγμα, αν προηγηθεί προσωπική συνάντηση με τον ιδιοκτήτη του κλειδιού και επιβεβαίωση της ταυτότητας του με την παρουσίαση κάποιου επικυρωμένου εγγράφου με φωτογραφία. Ένας άλλος τρόπος ταυτοποίησης είναι να έχει υπογράψει το Δημόσιο κλειδί που μας ενδιαφέρει ένα τρίτο πρόσωπο της εμπιστοσύνης μας, του οποίου το κλειδί γνωρίζουμε ότι είναι αυθεντικό. Όσο περισσότερες ψηφιακές υπογραφές έχει συλλέξει ένα κλειδί τόσο περισσότερες πιθανότητες έχει να είναι αυθεντικό — εφόσον, βέβαια, και οι υπογραφές αυτές θεωρούνται αληθείς. Σε κάθε περίπτωση πάντως καλό είναι να συγκρίνουμε το ψηφιακό δαχτυλικό αποτύπωμα (digital fingerprint) ενός κλειδιού με μια έμπειστη πηγή πριν το θεωρήσουμε έμπιστο.</p><!-- XXX: απλοποίησε αυτή την πρόταση λίγο και γράψε κάτι για το fingerprint ! --> <p>Υπογράφοντας Δημόσια κλειδιά άλλων (μετά από ταυτοποίηση τους, φυσικά) συμβάλλουμε στη δημιουργία ενός <em>Κύκλου Εμπιστευτικότητας</em> (ή <em>Web of Trust</em>), και όσο «μεγαλώνει» αυτός ο κύκλος τόσο περιορίζεται και το πρόβλημα της κυκλοφορίας πλαστών κλειδιών.</p> <h3>Τι είναι το OpenPGP</h3> <h2 id="party">OpenPGP key signing party</h2> <h3>Τι ακριβώς είναι το OpenPGP key signing party</h3> <h3>Τι είναι το key signing και γιατί χρειάζεται</h3> <h2 id="keyinfo">Δημιουργία και διαχείριση κλειδιών OpenPGP</h2> <h3>Πώς δημιουργώ ένα ζεύγος ιδιωτικού/δημόσιου κλειδιού</h3> <h3>Τι είναι ο key server και πώς τον χρησιμοποιώ για δημοσίευση του κλειδιού μου</h3> <h3>Πώς δημιουργώ πιστοποιητικό ανάκλησης κλειδιού και γιατί χρειάζεται</h3> <h3>Πώς ανακαλώ το κλειδί μου</h3> <h2 id="partyinfo">Τι χρειάζομαι για να συμμετάσχω σε ένα key signing party</h2> <h3>Τι χρειάζομαι</h3> <h3>Πώς υπογράφω κλειδιά άλλων</h3> </body>