Verificação de chaves

Quando a criptografia é utilizada adequadamente, suas comunicações e informações devem ser lidas somente por você e pelo seu interlocutor. A criptografia ponto a ponto protege seus dados contra a vigilância de terceiros, mas sua utilidade é limitada, caso esteja inseguro em relação à identidade do seu interlocutor. É neste momento que entra em ação a verificação da chave . Através da conferência das chaves públicas que você e ele adicionam outra camada de proteção à conversa, confirmando as identidades um do outro, e proporcionando maior garantia de que esteja falando com a pessoa certa.

A verificação de chaves é um elemento usual dos protocolos que utilizam a criptografia ponto a ponto, como a PGP e a OTR. No Sinal, eles são chamados de "safety numbers". Para averiguar as chaves sem riscos de interferências, é recomendável utilizar um método secundário de comunicação diferente do que utilizará para criptografar, o que é denominado de verificação fora da banda (do inglês out-of-band ). Por exemplo, se está verificando suas digitais OTR, você pode enviá-las para outra pessoa via e-mail. Neste exemplo, o e-mail seria o canal secundário de comunicação.

Verificando chaves fora da banda anchor link

Existem diversas maneiras de fazer isso. A verificação física das chaves é a ideal, caso seja conveniente e arranjada de modo seguro. Muitas vezes isto é feito em reuniões de assinatura de chaves (do inglês key-signing parties ) ou entre colegas.

Caso não possam se encontrar pessoalmente, você pode entrar em contato com seu interlocutor por um meio de comunicação diferente do que está utilizando e pelo qual quer verificar as chaves. Por exemplo, se estiver querendo conferir as chaves PGP com alguém, você poderia utilizar o telefone ou um chat OTR para verificá-las.

Independentemente do programa que utilizar, você sempre poderá localizar tanto a sua como a chave do seu interlocutor.

Apesar do método de localização da sua chave variar conforme o programa, o mecanismo de verificação de chaves permanece quase sempre o mesmo. Você pode ler em voz alta (presencialmente ou pelo telefone) a sua chave de autenticação digital ou ainda copiar e colá-la em um programa de comunicação. Porém, é imperativo que verifique cada letra e número, seja qual for o método que escolher.

Dica: tente verificar as chaves com um de seus amigos. Consulte o guia de como utilizar determinado programa para aprender como verificar as chaves neste programa específico.