Guida verificata con Ubuntu: 22.04 24.04 25.04
Problemi in questa pagina? Segnalali in questa discussione
Introduzione
In questa guida viene introdotto GNU Privacy Guard (di seguito GnuPG o GPG), il sistema di crittografia a riga di comando predefinito di Ubuntu.
Verranno di seguito esposti le nozioni basilari, le principali procedure d'impiego, la generazione e la gestione delle chiavi, nonché le metodologie di cifratura, decifratura e firma digitale.
GnuPG utilizza la crittografia a chiave pubblica per permettere a coloro che lo utilizzano di comunicare in sicurezza. In un sistema a chiave pubblica ogni utente ha una coppia di chiavi consistenti in una chiave privata e una pubblica. La chiave privata di una persona viene tenuta segreta; non deve mai essere rivelata. La chiave pubblica può essere data a tutti coloro con i quali l'utente vuole comunicare. |
(Estratto dal Manuale di GNUPG) |
Concetti Fondamentali
I concetti fondamentali della crittografia asimmetrica in GnuPG, qui di seguito esposti più dettagliatamente, costituiscono il pilastro fondamentale per una comprensione approfondita e, di conseguenza, per una corretta e sicura operatività del sistema. Una padronanza meticolosa di tali principi non solo facilita l'implementazione pratica ma è altresì cruciale per discernere le implicazioni di sicurezza associate a ciascuna operazione, garantendo la protezione dei dati e la validità delle interazioni digitali.
Coppia di Chiavi: Il sistema GnuPG impiega una coppia di chiavi univoca per ogni utente.
- La chiave privata è destinata alla custodia segreta, protetta da una passphrase robusta, ed è utilizzata per decifrare i messaggi ricevuti e per generare firme digitali sui messaggi inviati.
- La chiave pubblica, invece, può essere liberamente distribuita e consente a terzi di cifrare comunicazioni indirizzate al possessore della chiave privata, oltre a verificare le firme digitali da queste apposte.
Cifratura: Il processo di cifratura rende un messaggio indecifrabile applicando la chiave pubblica del destinatario. Solamente il possessore della chiave privata corrispondente può decifrare tale messaggio, garantendo la riservatezza delle comunicazioni e impedendo accessi non autorizzati.
Firma Digitale: La firma digitale assicura l'autenticità e l'integrità di un messaggio. Questa procedura genera un hash crittografico del messaggio, che viene poi cifrato con la chiave privata del mittente. La verifica della firma, eseguita con la chiave pubblica del mittente, permette di convalidare l'origine del messaggio e di confermare che non abbia subito alterazioni.
Certificato di Chiave: Un certificato di chiave è un documento digitale che include la chiave pubblica, informazioni identificative del proprietario (come nome e indirizzo email) e le firme di altre entità che ne attestano la validità e l'affidabilità. Questo certificato è fondamentale per stabilire la fiducia e convalidare le identità.
Anello delle Chiavi (Keyring): L'Anello delle Chiavi, o Keyring, è il database locale di GnuPG che archivia tutte le chiavi conosciute. È suddiviso in un anello per le chiavi pubbliche, usate per cifrare e verificare firme altrui, e un anello per le chiavi private, essenziali per decifrare i propri messaggi e generare le proprie firme digitali.
Rete di Fiducia (Web of Trust): A differenza dei modelli basati su autorità centralizzate, GnuPG implementa un paradigma decentralizzato noto come rete di fiducia. In questo sistema, la fiducia si costruisce attraverso la firma delle chiavi pubbliche di individui la cui identità è stata personalmente verificata. La probabilità che una chiave sia autentica aumenta in proporzione al numero e all'affidabilità delle firme ricevute.
Programmi
Esistono diversi programmi per interagire con il sottosistema gpg, sia con interfaccia grafica sia a riga di comando. I seguenti programmi possono essere utilizzati per generare e gestire le chiavi GPG, oltre che per eseguire operazioni di cifratura e firma:
Password e chiavi (Seahorse): È lo strumento di gestione delle chiavi predefinito dell'ambiente desktop GNOME, integrato nativamente in Ubuntu. Offre una gestione intuitiva delle chiavi GPG, inclusa la generazione, l'importazione, l'esportazione e la gestione dei certificati di revoca.
kgpg: Rappresenta l'interfaccia grafica standard per la gestione delle chiavi GPG nell'ambiente desktop KDE, risultando particolarmente utile su Kubuntu. Il programma consente di eseguire tutte le operazioni fondamentali, dalla creazione di nuove chiavi all'importazione e firma. Per ottenere il programma, è sufficiente installare il pacchetto kgpg.
GPA (GNU Privacy Assistant): È un'interfaccia grafica per GnuPG, multipiattaforma e indipendente dall'ambiente desktop. GPA fornisce un set completo di funzionalità per la gestione delle chiavi, la cifratura, la decifratura e la firma dei file, con una particolare attenzione alla chiarezza e alla facilità d'uso per operazioni complesse.
CLI (Command Line Interface) - gpg: L'interfaccia a riga di comando gpg è il cuore di GnuPG e offre il controllo più granulare su tutte le operazioni. Sebbene richieda familiarità con i comandi del terminale, permette di automatizzare processi e di eseguire operazioni avanzate non sempre disponibili nelle GUI. È l'opzione preferita per utenti esperti e per scripting.
pass (Password Store): Sebbene non sia un'interfaccia GPG diretta, pass è un gestore di password che utilizza GnuPG per cifrare e decifrare le credenziali. Permette agli utenti di archiviare password e altre informazioni sensibili in modo sicuro, sfruttando le chiavi GPG esistenti per la protezione dei dati. È un eccellente esempio di integrazione di GnuPG in altre utilità.
Generare una chiave
Digitare nel terminale il comando seguente:
gpg --full-gen-key
Apparirà una schermata di selezione con le seguenti opzioni:
Selezionare il tipo di chiave: (1) RSA e RSA (2) DSA ed Elgamal (3) DSA (solo segno) (4) RSA (solo segno) (9) ECC (firmare e crittografare) *predefinito* (10) DSA (firma solo) (14) Chiave esistente dalla carta Selezione?
La scelta predefinita (1) è la migliore, in quanto fornisce una maggiore robustezza della chiave.
Verrà chiesto di scegliere una dimensione per la chiave:
Le chiavi RSA possono essere lunghe tra 1024 e 4096 bit. Che chiave vuoi? (3072)
È possibile lasciare l'impostazione predefinita.Nel caso si necessiti di una chiave per firmare dei pacchetti Debian, o se si ha intenzione di far parte del GruppoSviluppo in futuro, considerare di creare una chiave da 4096 bit.
Verrà chiesto di impostare una data di scadenza:
Specificare la durata di validità della chiave. 0 = la chiave non scade <N> = la chiave scade dopo N giorni <N>w = la chiave scade dopo N settimane <N>m = la chiave scade dopo N mesi <N>y = la chiave scade dopo N anni Per quanto tempo deve essere valida la chiave? (0)
Se si creano le proprie chiavi senza scadenza, in tal caso ricordarsi di revocare la chiave quando non la si usa più. Premere Y per continuare con il processo di configurazione.
- Il passaggio successivo riguarda la creazione dell'identificativo:
- Inserire il proprio nome reale
- Inserire il proprio indirizzo email
- Inserire a scelta un commento per qualificare la chiave.
Successivamente sarà possibile aggiungere ulteriori indirizzi email alla propria firma.
Una volta verificata la correttezza delle informazioni inserite, premere o per generare la chiave. Verrà chiesto di inserire una passphrase:
È necessaria una passphrase per proteggere la propria chiave segreta.
L'ideale sarebbe scegliere una breve frase difficile da indovinare. A differenza di una password, una passphrase può contenere anche degli spazi bianchi.Dimenticare la propria passphrase comporta la perdita della chiave.
Una volta inserita la passphrase verrà avviato il processo di creazione della chiave. Questo verrà annunciato dal seguente messaggio:
Dobbiamo generare un mucchio di byte casuali. È una buona idea eseguire qualche altra azione (scrivere sulla tastiera, muovere il mouse, usare i dischi) durante la generazione dei numeri primi; questo da al generatore di numeri casuali migliori possibilità di raccogliere abbastanza entropia.
Al termine, si raggiungerà una schermata simile alla seguente:
gpg: key D8FC66D2 marked as ultimately trusted chiavi pubbliche e segrete create e firmate. pub 1024D/D8FC66D2 2011-04-07 Key fingerprint = 95BD 8377 2644 DD4F 28B5 2C37 0F6E 4CA6 D8FC 66D2 uid Mario Rossi <mario@rossi.it> sub 2048g/389AA63E 2011-04-07 gpg: key D8FC66D2 marked as ultimately trusted public and secret key created and signed.
L' ID della chiave nell'esempio è D8FC66D2.
È buona norma configurare questa chiave come predefinita all'interno del file ~/.bashrc, in modo tale da specificare come automatico il suo utilizzo con le altre applicazioni che fanno uso del sistema GnuPG. Per fare ciò basta inserire nel file ~/.bashrc la riga:
export GPGKEY=D8FC66D2
sostituendo D8FC66D2 con il proprio ID effettivo.
- Ora è necessario riavviare il servizio per la cifratura. A seconda del sistema in uso potrebbe essere necessario terminare uno dei due seguenti processi:
seahorse-agent:
killall -q seahorse-agent eval $(seahorse-agent --daemon)
gpg-agent:
killall -q gpg-agent eval $(gpg-agent --daemon)
Infine, eseguire questo comando:
source ~/.bashrc
Certificato di revoca
Un certificato di revoca deve essere generato per consentire la revoca della propria chiave pubblica nel caso in cui la chiave privata sia stata compromessa.
Per creare un certificato di revoca, digitare nel terminale:
gpg --output revoke.asc --gen-revoke ID_CHIAVE
Al posto di ID_CHIAVE inserire l'ID effettivo della propria chiave.
Il certificato deve essere conservato con estrema cura, preferibilmente in più luoghi offline e sicuri (ad esempio, su una chiavetta USB crittografata o stampato e custodito in un luogo fisico sicuro). Chiunque abbia accesso a questo certificato può rendere la chiave pubblica inutilizzabile.
Importare una chiave
GnuPG consente di aggiungere al proprio portachiavi anche chiavi non generate dall'utente, sia pubbliche che private.
Per importare una qualsiasi chiave con gpg, è fondamentale essere già in possesso di una copia salvata in locale. Quindi, se si vuole importare la chiave D8FC66D2 salvata su "www.example.org/key.asc", bisogna prima copiarla o scaricarla sul proprio PC.
Importare una chiave pubblica
Digitare nel terminale il seguente comando:
gpg --import file_chiave_pubblica.gpg
dove file_chiave_pubblica è il percorso del file contenente i dati della chiave pubblica da importare. L'output sarà simile al seguente:
gpg: chiave <ID>: chiave pubblica "Nome Cognome (utente) <email>" importata
Ciò significa che la chiave pubblica è stata importata con successo e che è utilizzabile.
Importare una chiave privata
Digitare nel terminale il seguente comando:
gpg --allow-secret-key-import --import file_chiave_privata.gpg
dove file_chiave_privata è il percorso del file che contiene i dati della chiave privata da importare.
Nel caso l'importazione della chiave segreta si concluda correttamente, l'output sarà simile al seguente::
gpg: chiave <ID>: chiave segreta importata
Inviare una chiave a un server
Questa sezione contiene le istruzioni per inviare la propria chiave a un server di chiavi in modo che tutti possano scaricarla. Una volta caricata su un server, dopo un breve periodo di tempo, tutti gli altri server di chiavi avranno la propria firma. È possibile velocizzare questo procedimento spedendo la propria chiave a più server.
Inviare una chiave da riga di comando
Digitare nel terminale il seguente comando:
gpg --send-keys --keyserver keyserver.ubuntu.com KEY-ID
sostituendo KEY-ID con l'ID della propria chiave.
Inviare una chiave con un browser web
Esportare la propria chiave digitando nel terminale il seguente comando:
gpg --export -a "Key-ID" > public.key
sostituendo KEY-ID con l'ID della propria chiave. Verrà creato un file public.key contenente la propria chiave pubblica.
Aprire una browser e andare al seguente indirizzo: http://keyserver.ubuntu.com:11371/.
Copiare il contenuto del file public.key e incollarlo nella casella sotto la scritta Submit a key, quindi fare clic su Submit this key to the keyserver!.
Firmare una chiave
Il sistema di firma delle chiavi di gpg è fondamentale per la costruzione della rete di fiducia, in quanto la firma di una chiave altrui attesta la verifica dell'identità del proprietario e del suo controllo sulla chiave privata.
Per agevolare questo processo, si raccomanda l'utilizzo del programma caff, che automatizza la firma della chiave pubblica di un interlocutore e gestisce l'invio del risultato, cifrato con la sua chiave pubblica, all'indirizzo e-mail associato. Questo protocollo non solo conferma il possesso della chiave, ma ne convalida anche l'accesso all'indirizzo e-mail corrispondente, rafforzando l'attendibilità tra l'identità dichiarata e il controllo effettivo della chiave crittografica.
Per procedere con la firma di una chiave, è necessario seguire i seguenti passaggi:
Il procedimento di firma di una chiave è sempre svolto dopo aver incontrato la persona.
Durante l'incontro è necessario scambiarsi i fingerprint delle rispettive chiavi e almeno un documento identificativo (con una fotografia all'interno). È possibile ottenere il fingerprint della propria chiave con il comando:
gpg --fingerprint ID_CHIAVE
Tali fingerprint vengono solitamente distribuiti su dei foglietti, creati da script come gpg-key2ps, fornito dal pacchetto signing-party (il cui accesso potrebbe richiedere l'abilitazione di repository specifici in alcune distribuzioni).
- Controllare che il nome nella chiave corrisponda con quello del documento identificativo.
Dopo aver verificato l'identità, si prepara il processo di firma utilizzando lo strumento caff.
È necessario creare un file .caff nella propria directory Home con i seguenti valori:
$CONFIG{owner} = q{Nome e cognome}; $CONFIG{email} = q{L'indirizzo email della chiave};
Eseguire ora il seguente comando:
caff ID_CHIAVE
sostituendo la dicitura ID_CHIAVE con l'ID della chiave che si vuole verificare e firmare.
Quando si ricevono chiavi firmate come allegati, salvarle e importarle con gpg. Sarà quindi possibile inviare queste chiavi a un keyserver.
Cifrare i dati
La cifratura dei dati è un'operazione molto importante per garantirne la sicurezza. GnuPG mette a disposizione due metodi:
asimmetrico (usato per impostazione predefinita);
Cifratura asimmetrica
Per poter cifrare un file con la propria chiave è necessario essere già in possesso di una coppia di chiavi. In caso contrario bisogna generarla.
Digitare nel terminale il seguente comando:
gpg -o file_cifrato -ea file_da_cifrare
dove file_cifrato è il percorso del file che conterrà i dati cifrati e file_da_cifrare il percorso del file che contiene i dati da cifrare.
A questo punto dovrebbe apparire una schermata simile alla seguente:
Non è stato specificato un ID utente (è possibile usare "-r"). Destinatari attuali: Inserire l'ID utente, termina con una riga vuota:
Inserire il nome del possessore della chiave pubblica con cui si intende cifrare (il destinatario del messaggio), oppure la sua email, quindi cliccare Invio. È possibile specificare anche altri destinatari con la stessa modalità, previo sempre il possesso delle loro chiavi pubbliche. Una volta specificati tutti gli utenti, premere Invio con una riga vuota.
Se l'operazione si conclude senza ulteriori messaggi nel terminale, allora vuol dire che la cifratura dei dati selezionati è riuscita correttamente.
Cifratura simmetrica
Digitare nel terminale il seguente comando:
gpg -o file_cifrato -ca file_da_cifrare
dove file_cifrato è il percorso del file che conterrà i dati cifrati, mentre file_da_cifrare il percorso del file contenente i dati originali.
Inserire la passphrase scelta nella finestra che apparirà e premere Invio sulla tastiera o cliccare sul pulsante Sblocca.
A questo punto apparirà una schermata che chiederà di ripetere la passphrase. Ripetere il passaggio precedente.
Se si clicca su Annulla nella schermata per inserire la passphrase, verrà chiesto di inserire quest'ultima nel terminale. Farlo senza preoccuparsi del fatto che sembri non venire digitata.
Se l'operazione si conclude senza ulteriori messaggi nel terminale, allora vuol dire che la cifratura è andata a buon fine.
La perdita della passphrase comporta la perdita definitiva della possibilità di decifrare il file cifrato.
Decifrare i dati
Digitare nel terminale il seguente comando:
gpg --decrypt percorso_del_file
sostituendp percorso_del_file con il percorso del file contenente i dati da decifrare.
A seconda dei casi:
Se il file è stato cifrato asimmetricamente e non si è in possesso della chiave privata apparirà il seguente messaggio:
gpg: de-cifratura non riuscita: la chiave segreta non è disponibile
Se il file è stato cifrato simmetricamente, verrà richiesta la passphrase per decifrarlo e, nel caso in cui essa sia errata, verrà stampato questo messaggio:
gpg: de-cifratura non riuscita: chiave errata
- Qualora l'operazione si concluda senza errori, il comando visualizzerà a schermo il messaggio decifrato
Firmare i dati
La firma dei dati è utile per verificare l'identità del mittente.
Firma del Codice di condotta di Ubuntu
Prima di firmare il Codice di condotta di Ubuntu è necessario aggiornare il proprio account inserendovi, fra le varie informazioni, la chiave gpg che si desidera utilizzare per tale operazione.
Caricare la chiave in Launchpad
Eseguire l'accesso in Launchpad.
Fare clic sul proprio nome in alto a destra e poi su Edit OpenPGP keys.
Copiare il fingerprint della propria chiave all'interno della casella di testo Key Fingerprint.
Launchpad spedirà all'indirizzo specificato un'email contenente del testo cifrato con la nuova chiave.Per procedere con l'operazione di decifratura è sufficiente salvare il testo in un file all'interno della propria Home, quindi digitare in un terminale il seguente comando:
gpg --decrypt nome_file.txt
sostituendo nome_file.txt con quello effettivo.
- Una volta inserita la passphrase comparirà in chiaro il testo del messaggio, il quale conterrà un collegamento da inserire nella barra degli indirizzi del proprio browser per convalidare la chiave.
Firmare il Codice di condotta
Per firmare il Codice di condotta di Ubuntu bastano tre semplici passaggi:
Scaricare il Codice di condotta da questo indirizzo : https://launchpad.net/codeofconduct/2.0/+download
Se necessario, spostarsi nella cartella dove è stato scaricato il file, quindi digitare il seguente comando:
gpg --clearsign UbuntuCodeofConduct-2.0.txt
Copiare il contenuto del file appena creato UbuntuCodeofConduct-2.0.txt.asc nel relativo campo presente a questo indirizzo.
Se l'operazione si è conclusa correttamente, sul proprio profilo Launchpad comparirà la voce Yes nella sezione Signed Ubuntu Code of Conduct:.
Firmare e cifrare email
Di seguito sono riportate istruzioni utili a configurare i principali client per firmare e cifrare le email.
Evolution
Avviare Evolution.
Selezionare il menù Modifica → Preferenze.
Fare clic su Account di posta sulla sinistra.
Selezionare l'account di posta per il quale abilitare la crittografia PGP, poi fare clic sul pulsante Modifica per aprire le impostazioni dell'account.
All'interno della scheda Sicurezza, cliccare sulla scheda Sicurezza nella finestra delle impostazioni dell'account.
Nel campo ID chiave OpenPGP inserire l'ID di 8 caratteri della chiave GPG.
Qualora non si conosca il proprio ID chiave, può essere recuperato tramite un'applicazione di gestione delle chiavi come ad esempio Seahorse (basterà andare nella sezione Chiavi GnuPG, selezionando la propria chiave, facendo clic con il pulsante destro del mouse e scegliendo Proprietà per trovare l'ID chiave.
- Configurare le opzioni desiderate per la firma automatica dei messaggi in uscita.
Per confermare fare clic su OK per salvare le impostazioni, quindi su Chiudi per uscire dalla finestra Preferenze.
Thunderbird
A partire dalla versione 78 è incluso il supporto a PGP/GnuPG. Perciò non è necessario installare alcun add-on aggiuntivo.
Seguire da menù il percorso Modifica → Impostazioni account e selezionare l'account email di proprio interesse.
Alla voce Crittografia end-to-end fare clic sulla scheda OpenPGP.
Se non è già stata associata una chiave, sarà presente il pulsante Aggiungi chiave... che consente di importare una chiave esistente o di generarne una nuova. Fare clic su Continua.- Seguire le istruzioni a schermo per selezionare e importare il file della chiave, quindi per completare l'operazione.
Ulteriori risorse