Introduzione

In questa guida viene introdotto GNU Privacy Guard (di seguito GnuPG o GPG), il sistema di crittografia a riga di comando predefinito di Ubuntu.
Verranno di seguito esposti le nozioni basilari, le principali procedure d'impiego, la generazione e la gestione delle chiavi, nonché le metodologie di cifratura, decifratura e firma digitale.

Concetti Fondamentali

I concetti fondamentali della crittografia asimmetrica in GnuPG, qui di seguito esposti più dettagliatamente, costituiscono il pilastro fondamentale per una comprensione approfondita e, di conseguenza, per una corretta e sicura operatività del sistema. Una padronanza meticolosa di tali principi non solo facilita l'implementazione pratica ma è altresì cruciale per discernere le implicazioni di sicurezza associate a ciascuna operazione, garantendo la protezione dei dati e la validità delle interazioni digitali.

• Coppia di Chiavi: Il sistema GnuPG impiega una coppia di chiavi univoca per ogni utente.

  • La chiave privata è destinata alla custodia segreta, protetta da una passphrase robusta, ed è utilizzata per decifrare i messaggi ricevuti e per generare firme digitali sui messaggi inviati.
  • La chiave pubblica, invece, può essere liberamente distribuita e consente a terzi di cifrare comunicazioni indirizzate al possessore della chiave privata, oltre a verificare le firme digitali da queste apposte.

• Cifratura: Il processo di cifratura rende un messaggio indecifrabile applicando la chiave pubblica del destinatario. Solamente il possessore della chiave privata corrispondente può decifrare tale messaggio, garantendo la riservatezza delle comunicazioni e impedendo accessi non autorizzati.

• Firma Digitale: La firma digitale assicura l'autenticità e l'integrità di un messaggio. Questa procedura genera un hash crittografico del messaggio, che viene poi cifrato con la chiave privata del mittente. La verifica della firma, eseguita con la chiave pubblica del mittente, permette di convalidare l'origine del messaggio e di confermare che non abbia subito alterazioni.

• Certificato di Chiave: Un certificato di chiave è un documento digitale che include la chiave pubblica, informazioni identificative del proprietario (come nome e indirizzo email) e le firme di altre entità che ne attestano la validità e l'affidabilità. Questo certificato è fondamentale per stabilire la fiducia e convalidare le identità.

• Anello delle Chiavi (Keyring): L'Anello delle Chiavi, o Keyring, è il database locale di GnuPG che archivia tutte le chiavi conosciute. È suddiviso in un anello per le chiavi pubbliche, usate per cifrare e verificare firme altrui, e un anello per le chiavi private, essenziali per decifrare i propri messaggi e generare le proprie firme digitali.

• Rete di Fiducia (Web of Trust): A differenza dei modelli basati su autorità centralizzate, GnuPG implementa un paradigma decentralizzato noto come rete di fiducia. In questo sistema, la fiducia si costruisce attraverso la firma delle chiavi pubbliche di individui la cui identità è stata personalmente verificata. La probabilità che una chiave sia autentica aumenta in proporzione al numero e all'affidabilità delle firme ricevute.

Programmi

Esistono diversi programmi per interagire con il sottosistema gpg, sia con interfaccia grafica sia a riga di comando. I seguenti programmi possono essere utilizzati per generare e gestire le chiavi GPG, oltre che per eseguire operazioni di cifratura e firma:

• Password e chiavi (Seahorse): È lo strumento di gestione delle chiavi predefinito dell'ambiente desktop GNOME, integrato nativamente in Ubuntu. Offre una gestione intuitiva delle chiavi GPG, inclusa la generazione, l'importazione, l'esportazione e la gestione dei certificati di revoca.

• kgpg: Rappresenta l'interfaccia grafica standard per la gestione delle chiavi GPG nell'ambiente desktop KDE, risultando particolarmente utile su Kubuntu. Il programma consente di eseguire tutte le operazioni fondamentali, dalla creazione di nuove chiavi all'importazione e firma. Per ottenere il programma, è sufficiente installare il pacchetto kgpg.

• GPA (GNU Privacy Assistant): È un'interfaccia grafica per GnuPG, multipiattaforma e indipendente dall'ambiente desktop. GPA fornisce un set completo di funzionalità per la gestione delle chiavi, la cifratura, la decifratura e la firma dei file, con una particolare attenzione alla chiarezza e alla facilità d'uso per operazioni complesse.

• CLI (Command Line Interface) - gpg: L'interfaccia a riga di comando gpg è il cuore di GnuPG e offre il controllo più granulare su tutte le operazioni. Sebbene richieda familiarità con i comandi del terminale, permette di automatizzare processi e di eseguire operazioni avanzate non sempre disponibili nelle GUI. È l'opzione preferita per utenti esperti e per scripting.

• pass (Password Store): Sebbene non sia un'interfaccia GPG diretta, pass è un gestore di password che utilizza GnuPG per cifrare e decifrare le credenziali. Permette agli utenti di archiviare password e altre informazioni sensibili in modo sicuro, sfruttando le chiavi GPG esistenti per la protezione dei dati. È un eccellente esempio di integrazione di GnuPG in altre utilità.

Generare una chiave

1. Digitare nel terminale il comando seguente:

   gpg --full-gen-key

2. Apparirà una schermata di selezione con le seguenti opzioni:

   Selezionare il tipo di chiave:
      (1) RSA e RSA
      (2) DSA ed Elgamal
      (3) DSA (solo segno)
      (4) RSA (solo segno)
      (9) ECC (firmare e crittografare) *predefinito*
     (10) DSA (firma solo)
     (14) Chiave esistente dalla carta
   Selezione?

   La scelta predefinita (1) è la migliore, in quanto fornisce una maggiore robustezza della chiave.

3. Verrà chiesto di scegliere una dimensione per la chiave:

   Le chiavi RSA possono essere lunghe tra 1024 e 4096 bit.
   Che chiave vuoi? (3072)

   È possibile lasciare l'impostazione predefinita.

   Nel caso si necessiti di una chiave per firmare dei pacchetti Debian, o se si ha intenzione di far parte del GruppoSviluppo in futuro, considerare di creare una chiave da 4096 bit.

4. Verrà chiesto di impostare una data di scadenza:

   Specificare la durata di validità della chiave.
            0 = la chiave non scade
         <N>  = la chiave scade dopo N giorni
         <N>w = la chiave scade dopo N settimane
         <N>m = la chiave scade dopo N mesi
         <N>y = la chiave scade dopo N anni
   Per quanto tempo deve essere valida la chiave? (0)

   Se si creano le proprie chiavi senza scadenza, in tal caso ricordarsi di revocare la chiave quando non la si usa più. Premere Y per continuare con il processo di configurazione.

5. Il passaggio successivo riguarda la creazione dell'identificativo:
   • Inserire il proprio nome reale
   • Inserire il proprio indirizzo email
   • Inserire a scelta un commento per qualificare la chiave.

   Successivamente sarà possibile aggiungere ulteriori indirizzi email alla propria firma.

6. Una volta verificata la correttezza delle informazioni inserite, premere o per generare la chiave. Verrà chiesto di inserire una passphrase:

   È necessaria una passphrase per proteggere la propria chiave segreta.

   L'ideale sarebbe scegliere una breve frase difficile da indovinare. A differenza di una password, una passphrase può contenere anche degli spazi bianchi.

   Dimenticare la propria passphrase comporta la perdita della chiave.

7. Una volta inserita la passphrase verrà avviato il processo di creazione della chiave. Questo verrà annunciato dal seguente messaggio:

   Dobbiamo generare un mucchio di byte casuali. È una buona idea eseguire
   qualche altra azione (scrivere sulla tastiera, muovere il mouse, usare i
   dischi) durante la generazione dei numeri primi; questo da al generatore di
   numeri casuali migliori possibilità di raccogliere abbastanza entropia.

8. Al termine, si raggiungerà una schermata simile alla seguente:

   gpg: key D8FC66D2 marked as ultimately trusted
   chiavi pubbliche e segrete create e firmate.
   
   pub   1024D/D8FC66D2 2011-04-07
         Key fingerprint = 95BD 8377 2644 DD4F 28B5  2C37 0F6E 4CA6 D8FC 66D2
   uid                  Mario Rossi <mario@rossi.it>
   sub    2048g/389AA63E 2011-04-07
   
   gpg: key D8FC66D2 marked as ultimately trusted
   public and secret key created and signed.

   L' ID della chiave nell'esempio è D8FC66D2.

9. È buona norma configurare questa chiave come predefinita all'interno del file ~/.bashrc, in modo tale da specificare come automatico il suo utilizzo con le altre applicazioni che fanno uso del sistema GnuPG. Per fare ciò basta inserire nel file ~/.bashrc la riga:

   export GPGKEY=D8FC66D2

   sostituendo D8FC66D2 con il proprio ID effettivo.

10. Ora è necessario riavviare il servizio per la cifratura. A seconda del sistema in uso potrebbe essere necessario terminare uno dei due seguenti processi:

    • seahorse-agent:

      killall -q seahorse-agent
      eval $(seahorse-agent --daemon)

    • gpg-agent:

      killall -q gpg-agent
      eval $(gpg-agent --daemon)

11. Infine, eseguire questo comando:

    source ~/.bashrc

Certificato di revoca

Un certificato di revoca deve essere generato per consentire la revoca della propria chiave pubblica nel caso in cui la chiave privata sia stata compromessa.

Per creare un certificato di revoca, digitare nel terminale:

gpg --output revoke.asc --gen-revoke ID_CHIAVE

Al posto di ID_CHIAVE inserire l'ID effettivo della propria chiave.

Importare una chiave

GnuPG consente di aggiungere al proprio portachiavi anche chiavi non generate dall'utente, sia pubbliche che private.

Importare una chiave pubblica

Digitare nel terminale il seguente comando:

gpg --import file_chiave_pubblica.gpg

dove file_chiave_pubblica è il percorso del file contenente i dati della chiave pubblica da importare. L'output sarà simile al seguente:

gpg: chiave <ID>: chiave pubblica "Nome Cognome (utente) <email>" importata

Ciò significa che la chiave pubblica è stata importata con successo e che è utilizzabile.

Importare una chiave privata

Digitare nel terminale il seguente comando:

gpg --allow-secret-key-import --import file_chiave_privata.gpg

dove file_chiave_privata è il percorso del file che contiene i dati della chiave privata da importare.

Nel caso l'importazione della chiave segreta si concluda correttamente, l'output sarà simile al seguente::

gpg: chiave <ID>: chiave segreta importata

Inviare una chiave a un server

Questa sezione contiene le istruzioni per inviare la propria chiave a un server di chiavi in modo che tutti possano scaricarla. Una volta caricata su un server, dopo un breve periodo di tempo, tutti gli altri server di chiavi avranno la propria firma. È possibile velocizzare questo procedimento spedendo la propria chiave a più server.

Inviare una chiave da riga di comando

Digitare nel terminale il seguente comando:

gpg --send-keys --keyserver keyserver.ubuntu.com KEY-ID

sostituendo KEY-ID con l'ID della propria chiave.

Inviare una chiave con un browser web

1. Esportare la propria chiave digitando nel terminale il seguente comando:

   gpg --export -a "Key-ID" > public.key

   sostituendo KEY-ID con l'ID della propria chiave. Verrà creato un file public.key contenente la propria chiave pubblica.

2. Aprire una browser e andare al seguente indirizzo: http://keyserver.ubuntu.com:11371/.

3. Copiare il contenuto del file public.key e incollarlo nella casella sotto la scritta Submit a key, quindi fare clic su Submit this key to the keyserver!.

Firmare una chiave

Il sistema di firma delle chiavi di gpg è fondamentale per la costruzione della rete di fiducia, in quanto la firma di una chiave altrui attesta la verifica dell'identità del proprietario e del suo controllo sulla chiave privata.
Per agevolare questo processo, si raccomanda l'utilizzo del programma caff, che automatizza la firma della chiave pubblica di un interlocutore e gestisce l'invio del risultato, cifrato con la sua chiave pubblica, all'indirizzo e-mail associato. Questo protocollo non solo conferma il possesso della chiave, ma ne convalida anche l'accesso all'indirizzo e-mail corrispondente, rafforzando l'attendibilità tra l'identità dichiarata e il controllo effettivo della chiave crittografica.

Per procedere con la firma di una chiave, è necessario seguire i seguenti passaggi:

1. Durante l'incontro è necessario scambiarsi i fingerprint delle rispettive chiavi e almeno un documento identificativo (con una fotografia all'interno). È possibile ottenere il fingerprint della propria chiave con il comando:

   gpg --fingerprint ID_CHIAVE

   Tali fingerprint vengono solitamente distribuiti su dei foglietti, creati da script come gpg-key2ps, fornito dal pacchetto signing-party (il cui accesso potrebbe richiedere l'abilitazione di repository specifici in alcune distribuzioni).

2. Controllare che il nome nella chiave corrisponda con quello del documento identificativo.

3. Dopo aver verificato l'identità, si prepara il processo di firma utilizzando lo strumento caff.

4. È necessario creare un file .caff nella propria directory Home con i seguenti valori:

   $CONFIG{owner} = q{Nome e cognome};
   $CONFIG{email} = q{L'indirizzo email della chiave};

   Eseguire ora il seguente comando:

   caff ID_CHIAVE

   sostituendo la dicitura ID_CHIAVE con l'ID della chiave che si vuole verificare e firmare.

5. Quando si ricevono chiavi firmate come allegati, salvarle e importarle con gpg. Sarà quindi possibile inviare queste chiavi a un keyserver.

Cifrare i dati

La cifratura dei dati è un'operazione molto importante per garantirne la sicurezza. GnuPG mette a disposizione due metodi:

• asimmetrico (usato per impostazione predefinita);

• simmetrico.

Cifratura asimmetrica

1. Digitare nel terminale il seguente comando:

   gpg -o file_cifrato -ea file_da_cifrare

   dove file_cifrato è il percorso del file che conterrà i dati cifrati e file_da_cifrare il percorso del file che contiene i dati da cifrare.

2. A questo punto dovrebbe apparire una schermata simile alla seguente:

   Non è stato specificato un ID utente (è possibile usare "-r").
   
   Destinatari attuali:
   
   Inserire l'ID utente, termina con una riga vuota: 

   Inserire il nome del possessore della chiave pubblica con cui si intende cifrare (il destinatario del messaggio), oppure la sua email, quindi cliccare Invio. È possibile specificare anche altri destinatari con la stessa modalità, previo sempre il possesso delle loro chiavi pubbliche. Una volta specificati tutti gli utenti, premere Invio con una riga vuota.

Se l'operazione si conclude senza ulteriori messaggi nel terminale, allora vuol dire che la cifratura dei dati selezionati è riuscita correttamente.

Cifratura simmetrica

1. Digitare nel terminale il seguente comando:

   gpg -o file_cifrato -ca file_da_cifrare

   dove file_cifrato è il percorso del file che conterrà i dati cifrati, mentre file_da_cifrare il percorso del file contenente i dati originali.

2. Inserire la passphrase scelta nella finestra che apparirà e premere Invio sulla tastiera o cliccare sul pulsante Sblocca.

3. A questo punto apparirà una schermata che chiederà di ripetere la passphrase. Ripetere il passaggio precedente.

   Se si clicca su Annulla nella schermata per inserire la passphrase, verrà chiesto di inserire quest'ultima nel terminale. Farlo senza preoccuparsi del fatto che sembri non venire digitata.

Se l'operazione si conclude senza ulteriori messaggi nel terminale, allora vuol dire che la cifratura è andata a buon fine.

Decifrare i dati

Digitare nel terminale il seguente comando:

gpg --decrypt percorso_del_file

• sostituendp percorso_del_file con il percorso del file contenente i dati da decifrare.

A seconda dei casi:

• Se il file è stato cifrato asimmetricamente e non si è in possesso della chiave privata apparirà il seguente messaggio:

  gpg: de-cifratura non riuscita: la chiave segreta non è disponibile

• Se il file è stato cifrato simmetricamente, verrà richiesta la passphrase per decifrarlo e, nel caso in cui essa sia errata, verrà stampato questo messaggio:

  gpg: de-cifratura non riuscita: chiave errata

• Qualora l'operazione si concluda senza errori, il comando visualizzerà a schermo il messaggio decifrato

Firmare i dati

La firma dei dati è utile per verificare l'identità del mittente.

Firma del Codice di condotta di Ubuntu

Prima di firmare il Codice di condotta di Ubuntu è necessario aggiornare il proprio account inserendovi, fra le varie informazioni, la chiave gpg che si desidera utilizzare per tale operazione.

Caricare la chiave in Launchpad

1. Eseguire l'accesso in Launchpad.

2. Fare clic sul proprio nome in alto a destra e poi su Edit OpenPGP keys.

3. Copiare il fingerprint della propria chiave all'interno della casella di testo Key Fingerprint.
   Launchpad spedirà all'indirizzo specificato un'email contenente del testo cifrato con la nuova chiave.

4. Per procedere con l'operazione di decifratura è sufficiente salvare il testo in un file all'interno della propria Home, quindi digitare in un terminale il seguente comando:

   gpg --decrypt nome_file.txt

   sostituendo nome_file.txt con quello effettivo.

5. Una volta inserita la passphrase comparirà in chiaro il testo del messaggio, il quale conterrà un collegamento da inserire nella barra degli indirizzi del proprio browser per convalidare la chiave.

Firmare il Codice di condotta

Per firmare il Codice di condotta di Ubuntu bastano tre semplici passaggi:

1. Scaricare il Codice di condotta da questo indirizzo : https://launchpad.net/codeofconduct/2.0/+download

2. Se necessario, spostarsi nella cartella dove è stato scaricato il file, quindi digitare il seguente comando:

   gpg --clearsign UbuntuCodeofConduct-2.0.txt

3. Copiare il contenuto del file appena creato UbuntuCodeofConduct-2.0.txt.asc nel relativo campo presente a questo indirizzo.

Se l'operazione si è conclusa correttamente, sul proprio profilo Launchpad comparirà la voce Yes nella sezione Signed Ubuntu Code of Conduct:.

Firmare e cifrare email

Di seguito sono riportate istruzioni utili a configurare i principali client per firmare e cifrare le email.

Evolution

1. Avviare Evolution.

2. Selezionare il menù Modifica → Preferenze.

3. Fare clic su Account di posta sulla sinistra.

4. Selezionare l'account di posta per il quale abilitare la crittografia PGP, poi fare clic sul pulsante Modifica per aprire le impostazioni dell'account.

5. All'interno della scheda Sicurezza, cliccare sulla scheda Sicurezza nella finestra delle impostazioni dell'account.

6. Nel campo ID chiave OpenPGP inserire l'ID di 8 caratteri della chiave GPG.

   Qualora non si conosca il proprio ID chiave, può essere recuperato tramite un'applicazione di gestione delle chiavi come ad esempio Seahorse (basterà andare nella sezione Chiavi GnuPG, selezionando la propria chiave, facendo clic con il pulsante destro del mouse e scegliendo Proprietà per trovare l'ID chiave.

7. Configurare le opzioni desiderate per la firma automatica dei messaggi in uscita.

8. Per confermare fare clic su OK per salvare le impostazioni, quindi su Chiudi per uscire dalla finestra Preferenze.

Thunderbird

1. Seguire da menù il percorso Modifica → Impostazioni account e selezionare l'account email di proprio interesse.

2. Alla voce Crittografia end-to-end fare clic sulla scheda OpenPGP.
   Se non è già stata associata una chiave, sarà presente il pulsante Aggiungi chiave... che consente di importare una chiave esistente o di generarne una nuova. Fare clic su Continua.

3. Seguire le istruzioni a schermo per selezionare e importare il file della chiave, quindi per completare l'operazione.

Ulteriori risorse

• Manuale di GnuPG

• Manuale di kgpg

• Support Thunderbird sulla crittografia OpenPGP

CategorySicurezza