PGP Pretty Good Privacy Какво е PGP

PGP (Pretty Good Privacy)

Какво е PGP? • Pretty Good Privacy е софтуерно реализирана криптографска система за защита на предаваните по електронна поща съобщения и на съхраняваните върху различни носители данни. Тя е създадена от Philip Zimmermann през 1991 г. • PGP е комбинирана криптосистема. Тя включва система, която обвързва публичните ключове със съответното потребителско име (user name). Първата версия на тази система е известна като web of trust, за разлика от системата X. 509, която използва йерархичен модел, базиран на сертифициращи организации (certificate authority) и е добавена към PGP приложенията покъсно. Настоящите версии на PGP включват и двете алтернативи чрез автоматизиран сървър за управление на ключовете.

Комбинирани криптосистеми Alice p Bob Alice Генериране d a=Asym(k, p) на сесиен ключ k k=Asym’(a, d) Съобщение m c=Sym(m, k) m=Sym-1 (c, k) p – публичен ключ на Bob, d – частен ключ на Bob Sym - Симетричен алгоритъм Asym - Асиметричен алгоритъм

Модели на доверие • Direct Trust • Hierarchical Trust • A Web of Trust

Web of trust (мрежа на доверие) • При използването на публични ключове е много важно удостоверяването на собственика на ключа. Още от самото си създаване PGP включва в системата за разпространение на публичните ключове и “сертификат за идентичност”. Включването на публичния ключ в сертификат дава сигурност на потребителите, че ключът е валиден. Тази мрежа от сертификати е наречена WEB OF TRUST. Даден сертификат може да бъде подписан и от трета страна за заверка, като в тези подписи могат да бъдат включени няколко нива на сигурност. • WEB OF TRUST протоколът е описан най-напред от Zimmermann в the manual for PGP version 2. 0: • WEB OF TRUST механизмът има предимства пред централизираната PKI схема, които се използват от S/MIME (Secure / Multipurpose Internet Mail Extensions) стандарта, но не се използва масово. Проблемът е, че потребителите трябва да проверят валидността на сертификатите ръчно, или просто да ги приемат.

X. 509 • X. 509 е ITU-T стандарт за public key infrastructure (PKI). • ITU Telecommunication Standardization Sector (ITU-T) координира стандартите в телекомуникациите от името на International Telecommunication Union (ITU). Базиран е в Женева. • Public key infrastructure (PKI) е спогодба, която обвързва публичните ключове със съответния потребител от certificate authority (CA) чрез сертификати (public key certificates), издавани от CA.

Сигурност на PGP • • • Досега не е известен метод за разбиване на PGP криптирането. Поранните версии имат някои теоретични уязвимости, затова е препоръчително да се използват по-новите версии. За разлика от други системи и протоколи за защита, като протокола SSL, който осигурява единствено защита на данни предаване по мрежа, криптирането с PGP осигурява защита и при съхранение на данни за по-дълъг период, например в компакт дисковете. Криптографската сигурност на PGP зависи от предположението, че използваните алгоритми са устойчиви при директен криптоанализ с наличната компютърна техника. Практически в системата се използват алгоритми, за които досега не са открити слабости от гледна точка на криптоанализа. Всеки, който иска да прочете съобщения, криптирани с PGP, би могъл да използва така наречения Rubber-hose cryptanalysis (кражба на криптографските секрети или вземането им със сила) или да инсталира някаква форма на trojan horse или keystroke logging software/hardware върху on the target компютъра, на който са съобщенията, за да изтегли криптиращите ключове и техните пароли. FBI вече са използвали такива атаки срещу PGP. На практика тези атаки са приложими срещу всеки софтуер за криптиране.

История на PGP • Zimmermann създал PGP с некомерсиална цел и дори включил source кода във всички копия. Системата се разпространила много бързо през Internet по цял свят. • През 1993 правителството на САЩ повдига обвинение срещу Zimmermann за "munitions export without a license". По това време криптосистеми, използващи ключ, по-голям от 40 бита, са включени в така наречените US export regulations; а PGP никога не е използвала ключове, по-малки от 128 бита. След няколко години преследването срещу Zimmermann било прекратено без предявяване на обвинение.

История на PGP • Zimmermann отговорил на обвиненията по странен начин. Той публикувал целия source код на PGP в книга с твърди корици, издадена от MIT Press. Всеки можел да напише свое копие на PGP, достатъчно било да си купи книгата и да я сканира. Основният принцип бил следният: износът на муниции (оръжие, бомби, самолети и специализиран software) бил (и остава) ограничен, но износът на книги е свободен. • US export regulations по отношение на криптографията остават в сила, но са значително либерализирани през 1990 те години. От 2000, PGP вече не се включва в дефиницията за “забранено за износ оръжие”, и може да се разпространява по цял свят освен в 7 “specific countries and a named list of groups and individuals”.

История на PGP • Независимо от липсата на финансова поддръжка, изпълнителен персонал, фирма която да го подкрепи и преследването от страна на правителството, PGP се наложи като най-разпространяваната в световен мащаб технология за криптиране на данните предавани чрез електронна поща. • След прекратяване на следствието в началото на 1996 година Цимерман основава компания, наречена PGP Inc. През декември 1997 PGP Inc е закупена от Network Associates Inc (NAI). Цимерман е работил за NAI в продължение на три години като старши консултант. През август 2002 PGP е закупен от PGP Corporation, където авторът продължава да работи и до днес като специален сътрудник и консултант.

Open. PGP • В PGP Inc. все още имат притеснения относно патентните ограничения. Заради широкото разпространение на PGP (всъщност може би най-използваната криптографска система в световен мащаб), много потребители желаят да напишат собствен софтуер, който да е съвместим с PGP 5. Zimmermann бил убеден, че отворен стандарт за PGP би бил опасен за неговия екип и за криптографската общност въобще. През юли 1997, PGP Inc. предлага на IETF да бъде създаден стандарт, наречен Open. PGP. Те дават разрешение на IETF да използват името Open. PGP за описание новия стандарт, както и за програмите, които го използват. IETF приемат предложението и и започват работа върху Open. PGP. • Системата Open. PGP е включена в така наречените Internet Standards Track като RFC 4880. • Free Software Foundation е създала собствена система Open. PGP, наречена GNU Privacy Guard (Gnu. PG или GPG). Gnu. PG е свободна заедно с целия сорс-код под лиценза GNU General Public License (GPL).

Network Working Group J. Callas Request for Comments: 4880 PGP Corporation Obsoletes: 1991, 2440 L. Donnerhacke Category: Standards Track IKS Gmb. H H. Finney PGP Corporation D. Shaw R. Thayer November 2007 Open. PGP Message Format Status of This Memo This document specifies an Internet standards track protocol for the Internet community, and requests discussion and suggestions for improvements. Please refer to the current edition of the "Internet Official Protocol Standards" (STD 1) for the standardization state and status of this protocol. Distribution of this memo is unlimited. Abstract This document is maintained in order to publish all necessary information needed to develop interoperable applications based on the Open. PGP format. It is not a step-by-step cookbook for writing an application. I t describes only the format and methods needed to read, check, generate, and write conforming packets crossing any network. It does not deal with storage and implementation questions. It does, however, discuss implementation issues necessary to avoid security flaws. Open. PGP software uses a combination of strong public-key and symmetric cryptography to provide security services for electronic communications and data storage. These services include confidentiality, key management, authentication, and digital signatures. This document specifies the message formats used in Open. PGP.

Симетрични алгоритми в PGP предлага няколко различни симетрични алгоритми за криптиране: • Triple-DES – оперира с 64 -битови блокове, а ключът е с DES дължина 168 бита. • IDEA (International Data Encryption Algorithm) – блоков шифър, IDEA базиран на концепцията за “смесване на операции от различни алгебрични групи. ” Създаден в ETH - Zurich от James Massey и Xuejia Lai, публикуван през 1990 г. Оперира с 64 -битови блокове, а ключът е с дължина 128 бита. • CAST – създаден от Carlisle Adams and Stafford Tavares от CAST Northern Telecom (Nortel). Оперира с 64 -битови блокове, а ключът е с дължина 128 бита. • Twofish – създаден от Bruce Schneier. Twofish • AES

PGP 7. 0 User's Guide in English – Introduction to Cryptography – PGP 7. 0 Mac. OS User's Guide – PGP 7. 0 Windows 95/98/NT/2000 User's Guide --------------[ PGPi Home > Documentation > User's Guide > PGP 7. 0 > English ]

Продукти • http: //www. philzimmermann. com/EN/findp gp/index. html - директно от автора • http: //www. philzimmermann. com/BG/back ground/index. html - от автора на български • http: //www. pgp. com/downloads/index. html • http: //www. gnupg. org/ - Gnu. PG • http: //www. pgpi. org/ • http: //pgpru. com/ - open. PGP в России