PGP (Pretty Good Privacy) is software die gegevens versleutelt. Het wordt op grote schaal gebruikt en is uitgegroeid tot de standaard voor e-mail- en bestandsversleuteling, waardoor het een belangrijk onderdeel van cybersecurity vormt. Dit artikel legt uitgebreid uit wat PGP-encryptie is, waar het voor dient en welke toepassingen het in de praktijk heeft, en ook hoe en wanneer u het zou moeten gebruiken.
Wat is PGP-encryptie?
PGP biedt cryptografie en authenticatie voor data at rest – het is dus geen beveiligd communicatieprotocol, maar een methode die bestanden versleutelt.
PGP-encryptie werd in 1991 ontwikkeld door Phil Zimmermann om berichten tussen politieke activisten te versleutelen. Van daaruit verspreidde het zich razendsnel online en werd het de de-factostandaard voor het versleutelen van e-mails. PGP volgt de OpenPGP-standaard (die op PGP zelf is gebaseerd) en die standaard wordt inmiddels door een flink aantal encryptieoplossingen gebruikt.
Zo werkt PGP-encryptie
Het PGP-encryptieproces steunt op een aantal belangrijke onderdelen:
- Publieke sleutels: Publieke sleutels kunt u met anderen delen. U gebruikt ze om gegevens te verifiëren en om gegevens zo te versleutelen dat alleen de bijbehorende privésleutel ze kan ontsleutelen.
- Privésleutels: Privésleutels moeten door de eigenaar geheim worden gehouden, omdat ze gegevens kunnen ontsleutelen die met de bijbehorende publieke sleutel zijn ondertekend.
- Digitale handtekeningen: Met privésleutels kunt u ook digitale handtekeningen maken. Die zijn te verifiëren met de bijbehorende publieke sleutel, zodat de authenticiteit (dat de gegevens van de eigenaar van de privésleutel afkomstig zijn) en de integriteit (dat de gegevens niet zijn aangepast) vaststaan.
- Encryptiealgoritmen: PGP gebruikt zowel symmetrische als asymmetrische encryptie-algoritmen om gegevens te beveiligen.
Het PGP-encryptieproces verloopt als volgt:
- De afzender versleutelt de gegevens met een willekeurig gegenereerde sessiesleutel en een symmetrisch encryptiealgoritme zoals AES.
- De sessiesleutel wordt versleuteld met de publieke sleutel van de ontvanger en een asymmetrisch encryptiealgoritme zoals RSA. Alleen de privésleutel van de ontvanger kan de gegevens ontsleutelen.
- De versleutelde gegevens en de versleutelde sessiesleutel worden samengevoegd en zijn klaar om naar de ontvanger te worden verstuurd.
Het PGP-ontsleutelingsproces verloopt als volgt:
- De privésleutel van de ontvanger wordt gebruikt om de sessiesleutel uit het met PGP versleutelde bestand te ontsleutelen.
- Vervolgens worden de gegevens met de sessiesleutel ontsleuteld, waarmee de oorspronkelijke gegevens terugkomen.
Het digitaal ondertekenen met PGP is optioneel. Het bevestigt de integriteit en authenticiteit van gegevens en verloopt als volgt:
- De afzender maakt een hash van de gegevens.
- Er wordt een digitale handtekening gemaakt door de hash met de privésleutel van de afzender te versleutelen.
- De handtekening wordt aan de versleutelde gegevens toegevoegd.
De handtekening kan daarna bij het ontsleutelen van de gegevens worden geverifieerd:
- De publieke sleutel van de afzender wordt gebruikt om de digitale handtekening te ontsleutelen.
- Er wordt een hash van de ontsleutelde gegevens gemaakt.
- Komen de hashes overeen, dan zijn de integriteit en authenticiteit van het bericht bevestigd.
Toepassingen en voorbeelden van PGP-encryptie in de praktijk
PGP-encryptie komt in de praktijk in allerlei veelvoorkomende situaties terug, waaronder:
- E-mailversleuteling: PGP is de de-factostandaard voor het versleutelen van e-mail (het voorkomt dat iemand uw e-mails zonder de ontsleutelingssleutel onderschept en leest) en is te gebruiken in populaire e-mailclients en -providers zoals Outlook en Gmail.
- Gegevensversleuteling: Bestanden op uw computer, usb-sticks, cd’s of andere opslagmedia kunt u met PGP versleutelen, zodat u ze veilig kunt versturen (per e-mail of zelfs per post). Een populaire tool hiervoor die op meerdere platforms werkt, is GnuPG.
- Documenten ondertekenen: De authenticiteit en integriteit van een document kunt u met PGP bevestigen: de eigenaar ondertekent het document met zijn privésleutel en de ontvanger verifieert het met de publieke sleutel van de eigenaar.
- Software ondertekenen: Net als bij documenten zorgt het ondertekenen van software ervoor dat de bron van een programma legitiem is en dat er niet met de code is geknoeid. Dat helpt beschermen tegen schadelijke code.
Wilt u het PGP-encryptieproces in beeld zien? Bekijk dan deze korte video: “Wat is PGP-encryptie? Betekenis, toepassingen en voorbeelden”.
Uitdagingen en beperkingen van PGP
Helaas zijn GnuPG en andere gratis PGP-software vaak gericht op de command line en niet erg gebruiksvriendelijk. Er zijn weliswaar plug-ins voor e-mailclients en bestandsbeheerders die PGP eenvoudiger maken, maar wie niet goed begrijpt hoe PGP werkt, loopt het risico op een verkeerde configuratie die de beveiliging ondermijnt.
Ook het beheer van PGP-sleutels vraagt aandacht: u moet zowel de integriteit van uw privésleutel bewaken (bescherming tegen beschadiging of verlies) als de veiligheid ervan (wie de sleutel in handen krijgt, kan zich als u voordoen en uw berichten ontsleutelen). Daarnaast beheert u de publieke sleutels van uw contacten: die moeten veilig worden verstuurd en opgeslagen, zodat er niet mee geknoeid kan worden en u ze niet kwijtraakt. Verder beveiligt u uw privésleutel met een sterke wachtwoordzin – en die mag u nooit vergeten!
Versleutelt u uw gegevens met PGP, dan loopt u bovendien het risico op gegevensverlies als u de gebruikte sleutels kwijtraakt. Het is essentieel om regelmatig back-ups te maken, zodat uw belangrijke gegevens geen gevaar lopen door hardwarestoringen, diefstal, een cybersecurity-incident of een ramp.
PGP is onmisbaar voor het beveiligen van data at rest
PGP is een belangrijk onderdeel van gegevensprivacy en -beveiliging, zeker bij gebruikersgegevens die onder privacyregels als GDPR, CCPA en HIPAA vallen. Het versleutelen en beveiligen van e-mail en gegevensbestanden hoort bij uw verantwoordelijkheid om die informatie te beschermen, net als ervoor zorgen dat uw IT-infrastructuur en endpoints beschermd zijn tegen inbraak, manipulatie en verstoring.
