O que é a en­crip­ta­ção PGP e como se utiliza?

A en­crip­ta­ção PGP é um método eficaz para proteger e assinar di­gi­tal­mente e-mails e ficheiros. Funciona através da crip­to­gra­fia as­si­mé­trica. Para as empresas que comunicam prin­ci­pal­mente por e-mail, este tipo de en­crip­ta­ção é fun­da­men­tal para impedir que pessoas não au­to­ri­za­das tenham acesso ao conteúdo. Neste artigo, mostramos-lhe como encriptar os seus e-mails com PGP.

O que é a en­crip­ta­ção PGP?

A en­crip­ta­ção PGP oferece-lhe uma excelente forma de proteger as suas in­for­ma­ções e encriptar o conteúdo dos seus e-mails. Ori­gi­nal­mente, o termo PGP, que significa «Pretty Good Privacy» (em português, «pri­va­ci­dade bastante boa»), referia-se ao software de en­crip­ta­ção de e-mail de­sen­vol­vido por Phil Zim­mer­mann em 1991. No entanto, com o passar dos anos, o nome ge­ne­ra­li­zou-se para descrever o método de en­crip­ta­ção utilizado pelo software.

A en­crip­ta­ção PGP baseia-se num sistema de chave pública, uma forma de en­crip­ta­ção as­si­mé­trica. Neste sistema, é utilizado um par de chaves atri­buí­das de forma per­ma­nente: uma chave pública e outra privada. A chave pública é par­ti­lhada com os teus po­ten­ci­ais contactos, seja di­re­ta­mente ou através do seu upload para um servidor de chaves externo. Desta forma, os contactos podem encriptar os e-mails que te enviam. Por outro lado, só tu tens acesso à chave privada, que te permite des­co­di­fi­car os e-mails que tenham sido pre­vi­a­mente en­crip­ta­dos com a tua chave pública PGP. Para que possas comunicar-te de forma segura desta forma, os teus in­ter­lo­cu­to­res também devem utilizar o PGP e fornecer-te as suas chaves públicas.

No passado, con­fi­gu­rar a en­crip­ta­ção PGP costumava ser um processo bastante complexo, pelo que muitos uti­li­za­do­res menos ex­pe­ri­en­tes preferiam evitá-lo. No entanto, nos últimos anos, foram de­sen­vol­vi­dos plugins que tornaram a en­crip­ta­ção PGP acessível a um público mais vasto. Entre eles encontram-se o FlowCrypt e o Mail­ve­lope. Além disso, vários for­ne­ce­do­res de e-mail es­ta­be­le­ci­dos criaram os seus próprios plugins PGP e as­sis­ten­tes de con­fi­gu­ra­ção, in­cor­po­rando-os nos seus serviços de e-mail.

Exemplos de aplicação da en­crip­ta­ção PGP

Os métodos de en­crip­ta­ção as­si­mé­trica, como o PGP, têm sido am­pla­mente uti­li­za­dos no mundo da in­for­má­tica e aplicam-se em diversos campos. A seguir, apre­sen­ta­mos alguns dos domínios em que o PGP é utilizado com maior frequên­cia.

1. En­crip­ta­ção de mensagens con­fi­den­ci­ais: a en­crip­ta­ção de e-mails e outros tipos de mensagens é, de longe, a aplicação mais comum do PGP.
2. Crip­to­gra­fia de ficheiros e sistemas de ficheiros: além da crip­to­gra­fia de co­mu­ni­ca­ções con­fi­den­ci­ais, o PGP também pode ser utilizado para crip­to­gra­far ficheiros, seja num disco rígido local ou num servidor.
3. As­si­na­tu­ras digitais: o PGP também é am­pla­mente utilizado no âmbito das as­si­na­tu­ras digitais. Ao aplicar uma as­si­na­tura PGP a uma mensagem ou ficheiro, garante-se a au­ten­ti­ci­dade do remetente e a in­te­gri­dade do conteúdo, o que permite verificar que a mensagem não foi alterada nem ma­ni­pu­lada por terceiros durante a sua trans­mis­são. Além disso, as as­si­na­tu­ras digitais também são uti­li­za­das para garantir a au­ten­ti­ci­dade e in­te­gri­dade de ficheiros, tais como programas e do­cu­men­tos.

Tutorial: con­fi­gu­rar a en­crip­ta­ção PGP

Atu­al­mente, existem for­ne­ce­do­res de serviços de e-mail que oferecem pacotes prontos para con­fi­gu­rar a en­crip­ta­ção PGP e fornecem ins­tru­ções claras para facilitar o processo. No entanto, se não tiveres essa opção, podes tomar medidas por conta própria. Neste tutorial sobre PGP, ajudamos-te a con­fi­gu­rar e a utilizar a en­crip­ta­ção PGP.

Crip­to­gra­fia PGP com software

Passo 1: instalar o software

Para começar, é im­por­tante procurar o software PGP adequado, que seja com­pa­tí­vel tanto com o seu sistema operativo como com o programa de e-mail que utiliza. Se for uti­li­za­dor de Linux, o software de código aberto GnuPG (GNU Privacy Guard), lançado pela primeira vez em 1997, é uma opção popular. O software vem nor­mal­mente pré-instalado em muitos sistemas, mas pode des­car­re­gar a versão mais recente a partir do site oficial.

Quem utiliza os sistemas ope­ra­ti­vos Windows ou OS X também en­con­trará aí ficheiros binários que permitem instalar fer­ra­men­tas es­pe­cí­fi­cas para cada sistema, como o Gpg4win e o GPGTools, ambos baseados no GnuPG.

Passo 2: gerar o par de chaves

Depois de instalar o programa PGP, pode gerar um par de chaves. No Linux, abra a linha de comandos e consulte o manual do programa que está a utilizar para encontrar o comando es­pe­cí­fico que deve in­tro­du­zir. Se estiver a utilizar o GnuPG, o comando para gerar um par de chaves seria o seguinte:

sudo gpg --gen-key

Em seguida, selecione o tipo de en­crip­ta­ção que pretende utilizar. Em geral, recomenda-se manter a con­fi­gu­ra­ção pre­de­fi­nida, que nor­mal­mente é «RSA e RSA», a menos que tenha co­nhe­ci­men­tos técnicos adi­ci­o­nais. Depois, introduza o com­pri­mento da chave em bits. Tenha em conta que quanto maior for o valor, mais seguras serão as chaves, mas isso também tornará o processo mais lento. Para as chaves RSA, recomenda-se ge­ral­mente um com­pri­mento de pelo menos 3000 bits para oferecer uma proteção sólida. Em seguida, es­pe­ci­fi­que o período de validade das chaves e forneça o seu nome e endereço de e-mail aos quais o par de chaves será aplicado. Por fim, defina uma palavra-passe segura para a sua chave privada, pois irá precisar dela mais tarde para encriptar e de­sen­crip­tar os seus e-mails.

No Windows e no Mac OS X, podes iniciar a geração de chaves através de programas gráficos. In­de­pen­den­te­mente do software PGP e da pla­ta­forma que uti­li­za­res, é comum teres de confirmar a geração de chaves através de entradas ale­a­tó­rias no teclado ou mo­vi­men­tos do rato.

Passo 3: partilhar a sua chave pública com os seus contactos

No Linux, pode gerir as chaves PGP geradas através do terminal ou com a ajuda de um programa gráfico, como o Seahorse (para Gnome/Unity) ou o KGpg (para KDE). Por exemplo, os comandos para as chaves privadas do GnuPG, apre­sen­ta­dos neste tutorial sobre PGP, são os seguintes:

sudo gpg --list-secret-keys
sudo -K

Para obter uma lista de todas as chaves públicas geradas, pode utilizar os seguintes comandos:

sudo gpg --list-keys
sudo -K

Podes ver as chaves numa lista e exportá-las di­re­ta­mente. Ao exportá-las, obterás um ficheiro .asc que poderás enviar aos teus contactos ou ser­vi­do­res de cer­ti­fi­ca­dos. Se um contacto receber a tua chave pública e tiver um programa de gestão de chaves, poderá enviar-te e-mails en­crip­ta­dos que poderás de­sen­crip­tar e ler. Da mesma forma, se quiseres enviar e-mails en­crip­ta­dos a esse mesmo contacto, pre­ci­sa­rás da chave pública dele.

Crip­to­gra­fia PGP online

Em vez de utilizar programas que tenha de instalar no seu sistema, também pode recorrer a fer­ra­men­tas PGP online para criar pares de chaves e encriptar ou de­sen­crip­tar mensagens com PGP. Um exemplo é o serviço web chamado PGP Key Generator, que lhe permite criar pares de chaves e realizar operações de en­crip­ta­ção ou de­sen­crip­ta­ção de mensagens.

O PGP Key Generator é uma aplicação Ja­vaS­cript que funciona em na­ve­ga­do­res web comuns e permite gerar pares de chaves. É um serviço de código aberto e gratuito, que não requer registo para ser utilizado.

No primeiro passo, basta in­tro­du­zir as ca­rac­te­rís­ti­cas das chaves no for­mu­lá­rio. Em seguida, clique em**«Gerar chaves»**para iniciar o processo de geração. Assim que estiver concluído, poderá vi­su­a­li­zar as chaves geradas.

Close

O PGP Key Generator é uma aplicação de código aberto, o que permite que es­pe­ci­a­lis­tas analisem o seu código-fonte a qualquer momento para verificar a sua segurança e fi­a­bi­li­dade. No entanto, tal como acontece com todas as outras apli­ca­ções Ja­vaS­cript, existe sempre a pos­si­bi­li­dade de os ci­ber­cri­mi­no­sos en­con­tra­rem possíveis vul­ne­ra­bi­li­da­des na segurança do serviço web e as uti­li­za­rem para atacar o seu sistema e aceder a dados sensíveis. É im­por­tante estar ciente desta pos­si­bi­li­dade e tomar as pre­cau­ções ne­ces­sá­rias ao utilizar qualquer serviço online.

Crip­to­gra­fia PGP para serviços de e-mail

Se preferir comunicar-se através de serviços de e-mail como o Gmail, Yahoo, GMX ou Outlook.com, a extensão do navegador Mail­ve­lope é uma excelente opção para si. A extensão baseia-se no OpenPGP.js e está dis­po­ní­vel para o Google Chrome, Microsoft Edge e Mozilla Firefox. Depois de instalada, verá o ícone do Mail­ve­lope na barra de fer­ra­men­tas do seu navegador, a partir da qual pode aceder à interface de uti­li­za­dor. Aqui pode criar, importar e gerir as suas chaves, bem como as chaves públicas dos seus contactos, ou carregar chaves públicas geradas num servidor de chaves públicas.

Close

Depois de instalar o Mail­ve­lope, ao abrir a caixa de entrada do seu e-mail no navegador, a extensão irá analisar au­to­ma­ti­ca­mente todo o conteúdo à procura de mensagens PGP. Desta forma, pode apre­sen­tar-lhe elementos es­pe­cí­fi­cos para a en­crip­ta­ção ou de­sen­crip­ta­ção de um e-mail. Nas opções, pode ativar ou desativar a en­crip­ta­ção PGP para o Gmail, Outlook e outros serviços.

Crip­to­gra­fia PGP para smartpho­nes

Para utilizar a en­crip­ta­ção PGP em dis­po­si­ti­vos iOS e Android, é ne­ces­sá­rio um software de gestão de chaves e um cliente de e-mail com­pa­tí­vel com esse método de en­crip­ta­ção. Se­le­ci­o­ná­mos uma aplicação de gestão de chaves para iOS e outra para Android, com as quais poderá guardar e gerir as chaves PGP dos seus contactos.

iOS: Easy PGP

O Easy PGP é uma aplicação para iOS segura e fácil de usar que traz o poder da en­crip­ta­ção PGP para o seu dis­po­si­tivo móvel. Com o Easy PGP, pode criar, importar e exportar pares de chaves PGP para proteger as suas co­mu­ni­ca­ções. Todas as operações são re­a­li­za­das lo­cal­mente no seu dis­po­si­tivo, pelo que os seus dados nunca saem do telemóvel, ga­ran­tindo assim a máxima pri­va­ci­dade. A sua interface moderna e intuitiva torna a en­crip­ta­ção PGP acessível a qualquer pessoa. Entre as suas prin­ci­pais fun­ci­o­na­li­da­des destaca-se a criação simples de novos pares de chaves PGP com de­fi­ni­ções de en­crip­ta­ção per­so­na­li­zá­veis.

Close

Android: Open­Key­chain: PGP Fácil

Os uti­li­za­do­res de Android podem utilizar a aplicação Open­Key­chain: Easy PGP, que também é de código aberto e se baseia no padrão OpenPGP.

Depois de instalar a aplicação, pode ver, importar e gerir as suas chaves privadas e públicas na secção «Keys». Na secção «Encrypt/Decrypt», pode encriptar ou de­sen­crip­tar mensagens e ficheiros uti­li­zando essas chaves.

Close

Di­fe­ren­ças entre conteúdo e ligações en­crip­ta­das

É comum os uti­li­za­do­res pensarem que os seus e-mails estão en­crip­ta­dos quando os trocam através de cer­ti­fi­ca­dos SSL ou TLS. No entanto, isso é apenas uma meia-verdade, uma vez que os cer­ti­fi­ca­dos SSL/TLS, na realidade, apenas encriptam o canal de trans­mis­são das mensagens entre os ser­vi­do­res de e-mail. Ou seja, as mensagens podem ser in­ter­cep­ta­das por terceiros ao serem enviadas para o servidor, o que as expõe a serem lidas em texto não en­crip­tado.

Além disso, ao contrário do PGP, o SSL/TLS não assina o e-mail e, por isso, não garante a sua au­ten­ti­ci­dade. No entanto, os cer­ti­fi­ca­dos SSL/TLS têm a ca­pa­ci­dade de encriptar certos com­po­nen­tes do e-mail que não são en­crip­ta­dos com o PGP, como as in­for­ma­ções sobre o remetente, o des­ti­na­tá­rio ou o assunto.

A com­bi­na­ção da en­crip­ta­ção PGP com a en­crip­ta­ção SSL/TLS é, portanto, a solução ideal para proteger o conteúdo do seu e-mail. Pode encontrar mais in­for­ma­ções sobre a trans­mis­são en­crip­tada no nosso guia sobre a en­crip­ta­ção de e-mails com SSL/TLS.