PGP (Pretty Good Privacy) é um software que criptografa dados. Amplamente utilizado, virou padrão para criptografia de e-mails e arquivos, o que faz dele um componente importante da cibersegurança. Este artigo explica em detalhes o que é a criptografia PGP, para que serve, suas aplicações práticas e quando usá-la.
O que é criptografia PGP?
O PGP oferece criptografia e autenticação para dados em repouso — ou seja, em vez de ser um protocolo de comunicação seguro, ele criptografa arquivos.
A criptografia PGP foi criada em 1991 por Phil Zimmermann para criptografar mensagens entre ativistas políticos. De lá para cá, espalhou-se rapidamente pela internet e se tornou o padrão de fato para criptografar e-mails. O PGP segue o padrão OpenPGP (que foi baseado no próprio PGP), hoje adotado por várias soluções de criptografia.
Como funciona a criptografia PGP
O processo de criptografia PGP depende de alguns componentes essenciais:
- Chaves públicas: as chaves públicas podem ser compartilhadas com outras pessoas e servem para verificar dados e criptografá-los, de modo que só a chave privada correspondente consiga descriptografá-los.
- Chaves privadas: as chaves privadas precisam ser mantidas em segredo pelo dono, pois descriptografam dados assinados pela chave pública correspondente.
- Assinaturas digitais: as chaves privadas também criam assinaturas digitais, que podem ser verificadas com a chave pública correspondente para garantir a autenticidade (que o dado veio mesmo do dono da chave privada) e a integridade dos dados (que não houve adulteração).
- Algoritmos de criptografia: o PGP usa algoritmos de criptografia simétrica e assimétrica para proteger os dados.
O processo de criptografia PGP funciona assim:
- O remetente criptografa os dados com uma chave de sessão gerada aleatoriamente e um algoritmo de criptografia simétrica, como o AES.
- A chave de sessão é criptografada com a chave pública do destinatário e um algoritmo de criptografia assimétrica, como o RSA. Só a chave privada do destinatário conseguirá descriptografar os dados.
- Os dados criptografados e a chave de sessão criptografada são empacotados e ficam prontos para envio ao destinatário.
O processo de descriptografia PGP funciona assim:
- A chave privada do destinatário descriptografa a chave de sessão contida no arquivo criptografado com PGP.
- Em seguida, os dados são descriptografados com essa chave de sessão, voltando ao formato original.
O processo de assinatura digital PGP é opcional e verifica a integridade e a autenticidade dos dados. Funciona assim:
- O remetente cria um hash dos dados.
- A assinatura digital é criada ao criptografar esse hash com a chave privada do remetente.
- A assinatura é anexada aos dados criptografados.
A assinatura pode então ser verificada no momento da descriptografia:
- A chave pública do remetente descriptografa a assinatura digital.
- Gera-se o hash dos dados descriptografados.
- Se os hashes coincidirem, a integridade e a autenticidade da mensagem estão confirmadas.
Usos e exemplos de criptografia PGP na prática
A criptografia PGP aparece em vários casos de uso difundidos, entre eles:
- Criptografia de e-mail: o PGP é o padrão de fato para criptografar e-mails (impede que alguém intercepte e leia suas mensagens sem a chave de descriptografia) e pode ser usado em clientes e provedores populares, como Outlook e Gmail.
- Criptografia de dados: arquivos guardados no computador, em pendrives, CDs ou outras mídias podem ser criptografados com PGP e enviados com segurança (por e-mail ou até pelo correio). Uma ferramenta multiplataforma bastante usada para isso é o GnuPG.
- Assinatura de documentos: dá para confirmar a autenticidade e a integridade de um documento com PGP: o dono assina o documento com a chave privada e quem recebe verifica a assinatura com a chave pública do dono.
- Assinatura de software: assim como na assinatura de documentos, a assinatura de software garante que a origem de um programa é legítima e que o código não foi adulterado, ajudando a proteger contra códigos maliciosos.
Para ver o processo de criptografia PGP em ação, vale assistir a este vídeo curto: “O que é criptografia PGP? Significado, usos e exemplos”.
Desafios e limitações do PGP
Infelizmente, o GnuPG e outros softwares PGP gratuitos costumam ser voltados para a linha de comando e pouco amigáveis. Existem plugins para clientes de e-mail e gerenciadores de arquivos que facilitam o uso do PGP, mas não entender bem como ele funciona pode levar a configurações erradas que comprometem a segurança.
O gerenciamento de chaves PGP também preocupa: é preciso manter a integridade da chave privada (protegê-la contra corrupção ou perda) e a segurança dela (se outra pessoa obtiver a chave, poderá se passar por você e descriptografar suas mensagens). Também é necessário gerenciar as chaves públicas dos seus contatos, garantindo transmissão e armazenamento seguros para que não sejam adulteradas, e não perdê-las. E proteger a chave privada com uma senha forte (que jamais pode ser esquecida!).
Ao criptografar dados com PGP, há ainda o risco de perder tudo caso as chaves usadas se percam. Por isso é fundamental fazer backups regulares, para que dados importantes não fiquem vulneráveis a falhas de hardware, roubo, incidentes de cibersegurança ou desastres.
O PGP é uma ferramenta essencial para proteger dados em repouso
O PGP é parte importante da privacidade e da segurança de dados, sobretudo quando se lida com informações de usuários cobertas por regulamentações como GDPR, CCPA e HIPAA. Criptografar e proteger e-mails e arquivos faz parte da sua responsabilidade de resguardar essas informações, assim como manter a infraestrutura de TI e os endpoints protegidos contra invasões, adulterações e interrupções.
