Руководство по PGP для Mac

Чтобы использовать PGP для обмена защищёнными электронными письмами, нам понадобятся три программы: GnuPG, Mozilla Thunderbird и Enigmail. Собственно шифрование и расшифровку электронной почты осуществляет программа GnuPG. Mozilla Thunderbird – клиент электронной почты, позволяет читать и отправлять электронные письма без веб-браузера. Enigmail – плагин к Mozilla Thunderbird, который связывает две упомянутые выше программы.

Обратите внимание: в этом руководстве мы говорим об использовании PGP с Mozilla Thunderbird, почтовым клиентом, имеющим функциональность аналогичную программе Outlook. Скорее всего, у вас уже есть любимый почтовый клиент (или вы пользуетесь веб-сервисом, например, Gmail или Outlook.com). Мы не будем останавливаться на том, как интегрировать PGP в разные программы. Вы можете установить Thunderbird и начать экспериментировать с PGP или поискать другие технические решения, которые позволят использовать PGP с вашей любимой программой. На данный момент нам неизвестно о качественном решении для других почтовых клиентов.

При использовании PGP электронное письмо шифруется не полностью: информация об отправителе и адресате, а также тема сообщения остаются незашифрованными! В существующих системах работы с электронной почтой нет возможности шифровать данные об отправителе и адресате. Mozilla Thunderbird с дополнением Enigmail дают простую возможность шифровать лишь содержимое переписки.

Пройдём все этапы: скачаем, установим и настроим программы, а затем посмотрим, как их использовать.

Pretty Good Privacy (PGP) – способ уберечь вашу электронную почту от посторонних глаз. В роли злоумышленников могут выступать компании, государство или преступники. С помощью PGP можно защитить сообщения в случае их перехвата, а также (хоть и в меньшей степени) от прочтения, если компьютер, на котором находится почта, оказался в чужих руках.

PGP также пригодится для подтверждения, что письмо действительно отправлено тем, кто его подписал, а не злоумышленником (в общем случае электронное письмо очень легко подделать). Эта функция особенно важна, если вы – в группе риска, то есть можете стать жертвой слежки или дезинформации.

Для работы с PGP нужно установить некоторые утилиты в дополнение к вашей обычной программе электронной почты. Понадобится создать секретный (закрытый) ключ, который вам предстоит надёжно оберегать. С помощью этого закрытого ключа вы будете расшифровывать приходящие сообщения и ставить собственную цифровую подпись при отправке, чтобы подтвердить свою личность. Наконец, вы научитесь распространять свой открытый ключ – небольшой фрагмент данных, который нужен, чтобы другие люди могли отправлять вам шифрованные письма, а также для проверки вашей цифровой подписи.

Получение и установка GnuPG Anchor link

Программу GnuPG (так же известную как GPG) для macOS можно получить, если скачать небольшой установщик с сайта GnuPG

Щёлкните по «GnuPG for OS X» рядом с надписью «Simple installer for GnuPG modern», чтобы скачать установщик GPG.

Вы будете переадресованы на сайт «SourceForge» для загрузки.

Получение Mozilla Thunderbird Anchor link

Откройте веб-сайт Mozilla Thunderbird.

Нажмите зелёную кнопку «Free Download». Сайт определит языковые настройки вашего компьютера. Если вы хотите установить Thunderbird на другом языке, выберите его, щёлкнув по ссылке «Systems & Languages».

Установка GnuPG Anchor link

Откройте «Download» в панели Dock и запустите файл GnuPG-2.11-002.dmg.

Откроется окно с индикатором прогресса.

В следующем окне вы можете ознакомиться с содержимым установочного пакета: установочный и некоторые другие файлы. Щёлкните по значку «Install.pkg».

Далее откроется окно установки. Нажмите кнопку «Continue».

Установка GnuPG потребует ввода имени пользователя и пароля. Введите пароль и нажмите «Install Software».

Появится окно с сообщением о завершении установки: «The installation was successful». Нажмите кнопку «Close».

Установка Mozilla Thunderbird Anchor link

Откройте «Download» в панели Dock и запустите файл Thunderbird 45.2.0.dmg.

Откроется окно с индикатором прогресса.

Откроется окно со значком Thunderbird и ссылкой на локальную папку Applications. Перетащите значок Thunderbird в папку Applications.

Окно с индикатором прогресса отобразится и исчезнет после завершения установки.

Извлеките смонтированные DMG-файлы.

Подготовка к установке Enigmail Anchor link

При первом запуске Mozilla Thunderbird macOS попросит вас подтвердить это действие. Приложение Mozilla Thunderbird было загружено с сайта mozilla.org и ему можно доверять. Нажмите кнопку «Open».

Mozilla Thunderbird может интегрироваться с адресной книгой macOS. Мы оставим это на ваше усмотрение.

При первом запуске Mozilla Thunderbird появится небольшое окно с просьбой подтвердить некоторые настройки по умолчанию. Рекомендуем нажать кнопку «Set as Default».

При первом запуске Mozilla Thunderbird вам буден задан вопрос, хотите ли вы получить новый адрес электронной почты. Нажмите кнопку «Skip this and use my existing email». Теперь настроим Mozilla Thunderbird для отправки и получения электронной почты. Если вы привыкли пользоваться веб-интерфейсом gmail.com, outlook.com или yahoo.com, программа Mozilla Thunderbird покажется вам непривычной, но кардинальных новшеств тут нет.

Добавление почтового адреса в Mozilla Thunderbird Anchor link

Откроется новое окно.

Укажите имя, адрес электронной почты и пароль. Mozilla не будет иметь доступ к вашему паролю или почтовому аккаунту. Нажмите кнопку «Continue».

Во многих случаях Mozilla Thunderbird может автоматически определять нужные настройки.

Иногда Mozilla Thunderbird недостаёт информации, тогда настраивать нужно вручную. Вот как это делается для учётной записи Gmail:

  • Сервер входящей почты (IMAP) – требуется SSL
    • imap.gmail.com
    • Порт: 993
    • Требуется SSL: да
  • Сервер исходящей почты (SMTP) – требуется TLS
    • smtp.gmail.com
    • Порт: 465 or 587
    • Требуется SSL: да
    • Требуется аутентификация: да
    • Те же настройки, что и для входящей почты
  •  Полное имя: [ваше имя или псевдоним]  
  • Название аккаунта / пользователя: ваш полный адрес Gmail (username@gmail.com). Пользователям Google Apps следует использовать собственный домен: username@your_domain.com
  • Адрес электронной почты: ваш полный адрес Gmail (username@gmail.com). Пользователям Google Apps следует использовать собственный домен: username@your_domain.com
  • Пароль: ваш пароль Gmail

Если для Google-аккаунта у вас включена двухэтапная аутентификация (это может понадобиться – в зависимости от модели угроз), то вы не сможете использовать свой обычный пароль Gmail в Thunderbird. Чтобы получить доступ к Gmail, вам придётся создать новый пароль Thunderbird специально для этой программы. Более подробная информация содержится в справочной системе Google.

Когда все данные аккуратно введены, нажмите кнопку «Done»..

Mozilla Thunderbird скачает копии электронных писем на ваш компьютер. Попробуйте отправить друзьям тестовое сообщение.

Установка Enigmail Anchor link

Enigmail устанавливается не так, как Mozilla Thunderbird и GnuPG. Как мы уже говорили, Enigmail – плагин (дополнение) к Mozilla Thunderbird. Нажмите кнопку «Menu button» (с тремя горизонтальными линиями в правом верхнем углу окна Thunderbird) и выберите «Add Ons».

Вы увидите вкладку «Add-ons Manager». Введите «Enigmail» в поисковую строку, чтобы найти дополнение на сайте Mozilla.

Enigmail будет первым в списке. Нажмите «Install».

После установки Enigmail браузер Mozilla Thunderbird предложит перезагрузиться, чтобы активировать Enigmail. Нажмите кнопку «Restart Now» и Mozilla Thunderbird перезагрузится.

После перезагрузки Mozilla Thunderbird всплывёт дополнительное окно настройки Enigmail. Выберите предложенный по умолчанию вариант «Start setup now» и нажмите «Next».

По нашему мнению стандартная конфигурация дополнения Enigmail является хорошим выбором. Нажмите «Next».

Теперь приступим к созданию открытого и закрытого ключей.

Создание открытого и закрытого ключей Anchor link

Если у вас уже есть настроенная учётная запись электронной почты, Enigmail использует её. Для начала вам нужно выбрать надёжный пароль для своего закрытого ключа.

Нажмите кнопку «Continue».

Для открытого ключа установлен определённый срок действия. Когда он истечёт, ваши собеседники больше не смогут использовать этот ключ, чтобы шифровать для вас сообщения. (Никакого специального предупреждения или подсказки вы не получите). Так что сделайте пометку в своём календаре, чтобы обратить внимание на «истекающий» ключ примерно за месяц до указанной даты.

Срок службы действующего ключа можно продлить, определив для него новую, более позднюю дату. Можно просто создать новый ключ «с нуля». В обоих случаях может понадобиться связаться с теми, кто общается с вами по электронной почте, и убедиться, что они получили ваш новый ключ. Сегодня этот процесс плохо автоматизирован на программном уровне. Поэтому создайте себе напоминание. Если управление ключом для вас проблема, можно снять ограничение по дате. Правда, в этом случае другие люди могут попытаться использовать ваш «вечный» ключ, даже если у вас больше нет парного закрытого ключа или вы вообще перестали использовать PGP.

Enigmail создаст пару ключей. Когда этот процесс завершится, появится маленькое окно с вопросом о создании сертификата отзыва. Такой сертификат может быть полезен. Он пригодится, если возникнет необходимость отозвать прежние ключи. Обратите внимание: если вы просто удалите закрытый ключ, это не означает неработоспособность парного открытого ключа. Люди по-прежнему смогут отправлять вам зашифрованные письма, а вы будете не в состоянии их расшифровать. Нажмите кнопку «Generate Certificate».

На этом этапе вам понадобится ввести пароль, который вы использовали при создании ключа. Нажмите кнопку «OK».

Откроется окно сохранения сертификата отзыва. Хотя вы можете сохранить файл и на компьютере, мы рекомендуем взять для этого USB-флешку, которую вы не будете использовать где-либо ещё и станете хранить в безопасном месте. Советуем не хранить сертификат отзыва на компьютере с ключами, чтобы избежать случайного отзыва. Лучше всего хранить этот файл на отдельном зашифрованном диске. Выберите носитель/папку для записи файла и нажмите кнопку «Save».

Enigmail сообщит дополнительные данные о сохранении сертификата отзыва. Нажмите кнопку «OK».

Вот и всё, что касалось создания открытого и закрытого ключей. Нажмите кнопку «Done».

Дополнительные настройки Anchor link

Отображение идентификаторов ключей

Следующие шаги совершенно необязательны, но могут быть полезны при использовании OpenPGP и Enigmail. Идентификатор ключа – небольшая часть отпечатка ключа, а отпечаток – лучший способ убедиться в достоверности открытого ключа. Изменив вид по умолчанию, мы сделаем отображение отпечатков более удобным. Нажмите кнопку настройки, затем «Enigmail» и «Key Management».

Откроется окно с двумя столбцами: «Name» и «Key ID».

Справа есть маленькая кнопка. Нажмите на неё, чтобы настроить столбцы. Снимите флажок в поле «Key ID» и активируйте опции «Fingerprint» и «Key Validity».

Теперь будут отображаться три столбца: «Name», «Key Validity», и «Fingerprint».

Поиск других пользователей PGP Anchor link

Получение открытого ключа по электронной почте

Вы можете получить открытый ключ как вложение электронной почты. Нажмите кнопку «Import Key».

Откроется маленькое окошко импорта ключа. Нажмите кнопку «Yes».

Появится новое окно, отображающее результат импорта. Нажмите кнопку «OK».

Если вы заново загрузите электронное письмо, вы увидите, что расположенная сверху панель изменилась.

Если вы снова откроете окно управления ключами Enigmail, то сможете проверить результат. Ваш ключ выделен PGP жирным шрифтом (потому что у вас есть и закрытый, и открытый ключи). Открытый ключ, который вы только что импортировали, не выделен жирным, потому что соответствующего закрытого ключа у вас нет.

Получение открытого ключа в виде файла

Открытый ключ часто можно получить, просто загрузив его с сайта или во время чата. Тогда, скорее всего, файл будет сохранён в папке «Downloads».

Откройте менеджер ключей Enigmail.

И выберите в меню «File» – «Import Keys from File».

Открытые ключи могут называться по-разному. У них могут быть и разные расширения, например, .asc, .pgp или .gpg. Выберите файл и нажмите кнопку «Open».

Откроется окошко импорта. Нажмите кнопку «Yes».

Появится новое окно, отображающее результат импорта. Нажмите кнопку «OK».

Получение открытого ключа при помощи ссылки

Можно загрузить открытый ключ при помощи URL-ссылки.

Откройте менеджер ключей и выберите в меню «Edit» – «Import Keys from URL».

Введите URL-ссылку. Как правило, это доменное имя, завершающееся адресом файла.

Например, eсли вы откроете https://www.eff.org/about/staff, вы заметите ссылки на открытые ключи сотрудников («PGP Key»). PGP-ключ Дэнни О'Брайена (Danny O'Brien) расположен по адресу: https://www.eff.org/files/pubkeydanny.txt.

Укажите URL-ссылку и нажмите кнопку «OK».

Появится окошко с запросом подтверждения импорта PGP-ключа. Нажмите кнопку «Yes».

Появится новое окно, отображающее результат импорта. Нажмите кнопку «OK».

Получение открытого ключа с сервера ключей

Cерверы ключей – очень полезная возможность получать открытые ключи. Попробуйте поискать открытый ключ.

Откройте менеджер ключей, выберите в меню «Keyserver» – «Search for Keys».

Откроется небольшое окно с поисковой строкой. Можно искать по полному адресу электронной почты, по его фрагменту или по имени. Попробуем найти ключи для адреса «samir@samirnassar.com». Нажмите кнопку «OK».

Появится окно побольше со многими опциями. Если прокрутите вниз, то увидите, что некоторые ключи выделены курсивом и серым цветом. Либо эти ключи были отозваны, либо их сроки действия истекли.

У Самира Нассара (Samir Nassar) есть несколько PGP-ключей и мы пока не знаем какой из них стоит выбрать. Один из ключей отозван. В этом случае нам есть смысл импортировать все ключи. Галочкой выберите ключи и нажмите кнопку «OK».

Откроется небольшое окно, в котором вас проинформируют об успешности ваших действий. Нажмите кнопку «OK»

В менеджере ключей Enigmail появятся новые ключи:

Обратите внимание, что из трёх импортированных ключей у одного истёк срок действия, один был отозван и один является действительным в настоящее время.

Оповещение адресатов об использовании PGP Anchor link

Итак, у вас есть PGP. Хорошо бы сообщить об этом другим. Тогда вы сможете обмениваться шифрованными письмами.

При использовании PGP электронное письмо шифруется не полностью: информация об отправителе и адресате, а также тема сообщения остаются незашифрованными! В существующих системах работы с электронной почтой нет возможности шифровать данные об отправителе и адресате. Mozilla Thunderbird с Enigmail дают простую возможность шифровать содержимое почты.

Давайте рассмотрим три способа оповещения людей о том, что вы используете PGP.

Оповещение людей об использовании PGP по электронной почте

Вы можете просто отправить другому человеку ваш открытый ключ по электронной почте как вложение.

Нажмите кнопку «Write» в Mozilla Thunderbird.

Укажите адрес и тему письма, например, «Мой открытый ключ». Выберите в меню Enigmail опцию «Attach My Public Key». Если вы уже импортировали PGP-ключ адресата, изображение замочка на панели Enigmail будет подсвечено. Вы можете также нажать кнопку с изображением карандаша, чтобы подписать электронное письмо. Цифровая подпись PGP позволит получателю убедиться, что именно вы отправили письмо и его содержимое не было изменено.

Появится окно с напоминанием о добавлении вложения. Это результат ошибки взаимодействия между Enigmail и Mozilla Thunderbird. Не беспокойтесь, ваш открытый ключ будет добавлен во вложение. Выберите «No, Send Now».

Оповещение людей об использовании PGP через веб-сайт

Если вы уже сообщили об этом по электронной почте, можете дополнительно разместить свой открытый ключ на веб-сайте. Загрузите файл на сервер и поставьте на него гиперссылку. В этом руководстве мы не станем вдаваться в подробности, как это сделать, но вы должны знать наверняка, как экспортировать ключ в виде файла для использования в будущем.

Нажмите кнопку настройки, затем «Enigmail» и «Key Management».

Выделите ключ жирным шрифтом, нажмите правую кнопку мыши для вызова контекстного меню и выберите «Export keys to file».

Anchor link

Появится небольшое окно с тремя кнопками. Нажмите кнопку «Export Public Keys Only».

Откроется окно сохранения файла. Чтобы легче найти его в будущем, есть смысл использовать папку «Documents». Теперь можете использовать этот файл по вашему усмотрению.

Осторожнее, не нажмите кнопку «Export Secret Keys». Экспорт закрытого ключа может дать злоумышленнику возможность притвориться вами (если ему удастся угадать ваш пароль).

Загрузка ключей на сервер

Серверы ключей облегчают поиск и скачивание открытых ключей. Большинство современных серверов ключей синхронизируются друг с другом. Таким образом, если открытый ключ загружен на один сервер, он в конечном счёте появится на всех серверах.

Публикацию вашего открытого ключа на сервере ключей можно рассматривать как удобный способ дать людям знать, что у вас есть открытый ключ PGP. Но следует помнить о специфике работы серверов ключей: ключ, который загружен на сервер, не может быть впоследствии оттуда удалён. Вы можете только отозвать его.

После загрузки вашего открытого ключа на сервер все будут знать, что вы используете PGP. Удалить ключ с сервера не получится. Решите, насколько это приемлемо для вас.

Если вы решили загрузить открытый ключ на сервер ключей, вернитесь к окну «Key Management».

Правой кнопкой мыши выберите в меню «Keyserver» действие «Upload Public Keys».

Отправка почты, зашифрованной при помощи PGP Anchor link

Отправим первое зашифрованное письмо.

В главном окне Mozilla Thunderbird нажмите кнопку «Write». Откроется новое окно.

Напишите сообщение, а чтобы тест у нас получился, выберите адресата, чей открытый ключ у вас уже есть. Enigmail обнаружит ключ и автоматически зашифрует сообщение.

Обратите внимание: тема письма не будет зашифрована, поэтому для неё лучше выбрать что-нибудь безобидное.

После шифрования содержимое письма будет выглядеть по-другому. Например, текст преобразуется так:

 

Чтение почты, зашифрованной при помощи PGP Anchor link

Посмотрим, что происходит, когда вы получаете зашифрованное письмо.

Mozilla Thunderbird оповещает вас о новых письмах. Нажмите на сообщение.

Откроется маленькое окно с запросом пароля к PGP-ключу. (Не вводите пароль электронной почты!) Нажмите кнопку «OK».

Сообщение будет расшифровано.

Отзыв PGP-ключа Anchor link

Отзыв PGP-ключа с помощью Enigmail

Срок действия PGP-ключей, созданных в программе Enigmail – пять лет. Если вы потеряете файлы с ключами, то рано или поздно люди попросят у вас новый открытый ключ.

Возможно, понадобиться прекратить действие ключа до этого срока. Например, если вы захотите создать новый, более сильный PGP-ключ. Самый простой способ отозвать свой PGP-ключ в Enigmail – использовать встроенный диспетчер ключей.

Нажмите правой кнопкой мыши на вашем PGP-ключе (выделен жирным шрифтом) и выберите опцию «Revoke Key».

Откроется окно с информацией и запросом подтверждения. Нажмите кнопку «Revoke Key».

Появится окно для пароля. Введите пароль от PGP-ключа и нажмите кнопку «OK».

Появится окно с информацией, что всё в порядке. Нажмите кнопку «OK».

В окне менеджера ключей вы заметите изменения. Обратите внимание на ваш PGP-ключ: он стал серым и выделен курсивом.

Отзыв PGP-ключа с помощью сертификата отзыва

Как упоминалось ранее, у вас могут появиться причины отозвать собственный ключ до истечения его срока действия. У других людей тоже могут появиться веские причины, чтобы отозвать существующий ключ. В предыдущем разделе мы говорили о том, что Enigmail генерирует и импортирует сертификаты отзыва при использовании Менеджера ключей Enigmail для отзыва ключа.

Вы можете получить сертификат отзыва от друга в качестве уведомления о том, что ваш друг хочет отозвать свой ключ. Так как у вас уже есть сертификат отзыва, вы будете использовать его для отзыва своего ключа.

Войдите в менеджер ключей Enigmail и выберите в меню «File» опцию «Import Keys from File».

Откроется окно, в котором можно выбрать сертификат отзыва. Выберите файл и нажмите кнопку «Open».

Появится сообщение о том, что сертификат был успешно импортирован, а ключ – отозван. Нажмите кнопку «OK».

Вернитесь к менеджеру ключей. Вы увидите, что отозванный ключ стал серым и выделен курсивом.

Теперь у вас есть все необходимые инструменты. Попробуйте самостоятельно отправить письмо, зашифрованное при помощи PGP.

Последнее обновление: 
2016-08-12
Эта страница переведена с английского языка. Наиболее актуальной является английская версия.
JavaScript license information