שימוש בתקשורת מוצפנת חשובה מאוד במיוחד במדינות לא דמוקרטיות. בעוד שבמדינות דמוקרטיות צריך להוציא צו שיפוטי על מנת לקבל את המיילים והתשדורות בין אזרחים או בין אזרח לגוף תקשורתי או אזרחי. במדינות דיקטטוריות ההנחה היא שהרשויות מסוגלות להאזין לכל תקשורת ואם היא לא מוצפנת היא תפוענח. בנוסף, הסכנה היא שהחוקים משתנים תדיר והם גם רטרואקטיביים. כלומר מה שחוקי עכשיו לא בטוח שיהיה חוקי מחר. אם היום חוקי לשלוח מידע לגופי חברה אזרחיים, מחר זה לא יהיה חוקי רטרואקטיבית וכיוון שהכלי של השב״כ מקליט הכל, יהיה ניתן לפענח ולחלץ תקשורות בעתיד.
מייל היא צורת תקשורת רגישה במיוחד שדרכה אפשר לשלוח מידע ומסמכים. חלק גדול מהמקורות של ארגוני חברה אזרחים שולחים להם חומרים במייל. אם אתם רוצים ליצור קשר עם ארגון כזה – בין אם מדובר בכלי תקשורת או ארגון חברה אזרחית אחר ולשלוח לו חומרים שיכולים להיות בעייתיים חשוב לשלוח את המידע באופן מאובטח ומוצפן. אחת הדרכים הטובות ביותר לשלוח מידע מוצפן הוא באמצעות פרוטוקול שנקרא PGP.
מה זה PGP?
ראשית התיבות של Pretty Good Privacy. מדובר בפרוטקול ותיק, שנוצר בשנות התשעים לתקשורת מוצפנת שקל למימוש בדואר אלקטרוני. ניתן להשתמש בו על גבי כל ספק דואר אלקטרוני והוא בלתי ניתן לשבירה באמצעים הטכנולוגיים של היום. הוא משמש אותנו גם לאימות זהות וגם להצפנה. אנו משתמשים בו כי פרוטוקול המייל הרגיל אינו טוב מספיק ואינו תומך בהצפנה או אימות כברירת מחדל.
PGP כמו כל הצפנה נעשית באמצעות צמד מפתחות – פרטי וציבורי. המפתח הציבורי מפורסם ובאמצעותו נעשית התקשורת.
ממה PGP יכול להגן עלי?
הצפנת PGP יכולה למנוע מכל מי שאין לו את המפתח הפרטי והסיסמה הייחודית של הנמען לראות את התוכן של המייל שנשלח. בין אם מדובר בקבצים או במידע אחר. גם אם תוקפים (כלומר רשויות המדינה) יצליחו להשיג גישה אל תיבת המייל עם צו או בדרך אחרת. הם יראו תוכן מעורבל. אפילו אם התוקפים יצליחו להשיג גישה אל המפתח הפרטי, ללא הסיסמה הם לא יצליחו לקרוא את התוכן.
ממה PGP לא יכול להגן עלי?
הפרוטוקול אינו מסווה את זהות השולח או המקבל. על מנת להסוות של השולח את הזהות יש להשתמש ב-Tor או ב-VPN או בספק מייל תומך פרטיות וכן באמצעים נוספים שיש בקישר הבא.
איך שולחים מייל מבוסס PGP עם שירות מייל התומך בכך?
יש לא מעט שירותי מייל התומכים ב-PGP – כמו פרוטון ו-startmail. כל השירותים מטמיעים אוטומטית PGP כששולחים מייל למישהו אחר שמשתמש בשירות אך רוב הפעמים אנו שולחים מייל למישהו שאינו ברשת שלנו. השירותים התומכים ב-PGP מייצרים עבורנו מפתח ציבורי ופרטי באופו אוטומטי שאנו יכולים להשתמש בהם. אך אלו המפתחות שלנו. כדי ליצור תקשורת מאובטחת ב-PGP אנו צריכים לקבל את המפתח הציבורי של הארגון. הוא בדרך כלל מופיע בקישור של תיבת ההדלפות של הארגון.
כך זה נראה בניו יורק טיימס:
כך זה נראה ב-CNN:
בגארדיאן יש לכל כתב מפתח ציבורי משלו
קובץ המפתח הציבורי הוא קובץ בסיומת asc. הוא נדרש לשם יצירת קשר מאובטח. כדאי לשים לב שאנו מניחים שהמפתח תקין ותוקף לא החליף אותו.
אחרי שהורדנו את הקובץ, נכנס למייל המאובטח שלנו וניצור איש קשר חדש.
פרוטון מייל
אני מדגים כאן עם פרוטון מייל שיש לו גרסה חינמית. מייל בין כתובת פרוטון אחת לשניה מוצפן ב-PGP באופן אוטומטי. אבל אם אתם מבקשים לשלוח מייל מוצפן למי שאין לו פרוטון, עשו זאת כך:
אנו נכנס אל רשימת אנשי הקשר של פרוטון, ניצור איש קשר. אחרי שיצרנו, נכנס אל פרטיו, נבחר ב Show advanced PGP Settings ונלחץ על upload public key. נבחר את קובץ המפתח הפומבי שהורדנו ונעלה לאיש הקשר.
נקפיד לסמן את ה-Encrypt mail, כך שכל מייל שנשלח לכתובת יהיה חתום ומאובטח.
אם עשינו הכל כמו שצריך, פרטי המשתמש יראו כך:
אנו יכולים לשלוח אליו כעת מייל מאובטח.
כשאנו שולחים מייל, לא נשכח לצרף את המפתח הפומבי שלנו. בפרוטון אפשר לעשות את זה כך – לחיצה על שלוש הנקודות, הוסף מפתח פומבי.
המשתמש יקבל מייל חתום.
StartMail
בשירות Startmail, שגם הוא תומך ב-PGP, עושים זאת כך:
מורידים את המפתח הפומבי של הגוף/אדם שרוצים ליצור איתו קשר. נכנסים להגדרות המייל ומחפשים PGP Keyring.
מעלים את המפתח הציבורי.
מהנקודה הזו אפשר לשלוח מייל מאובטח לכתובת שפרסמה את הכתובת המאובטחת. כל מה שצריך לעשות זה ביצירת מייל חדש לוודא שה-Encrypt וה-Sign מסומנים:
שימו לב שגם פה בתקשורת ראשונית עדיף לשלוח את המפתח הציבורי שלכם. Startmail מבצעת את זה אוטומטית אם בהגדרות אתם מבקשים את זה:
יש כמובן שירותים נוספים, אבל השליחה של מייל עם PGP נעשית בהם באופן דומה. השתמשתי בשני שירותים כדי להראות שזה לא נורא כלל. בכל השירותים יש גם אפשרות לחתימה בלבד ללא הצפנת המייל אך לא התייחסתי אליה.
בתקופה הזו ובמדינת ישראל יש לחלק מהאנשים צורך במשלוח מייל מאובטח. במקרה הזה אני מקווה שהמדריך יועיל. שימו לב ש-PGP הוא לא תרופת קסם אלא כלי אחד במגוון כלים רבים שצריך להפעיל כאשר שולחים מידע שחשיפתו עלולה להביא אנשים אחרים במבוכה.
אני מודה מאוד לנעם רותם, רן לוקאר וד״ר ארז ויסברד על תרומתם למדריך. שגיאות, אם יש, הן עלי כמובן.
