Utekl jsem od Thawte k GPG
Před několika lety jsem začal pro elektronickou poštu používat certifikáty od Thawte. Teď se ale změnila pravidla a tak jsem rychle utekl k otevřené konkurenci zvané GPG.
V roce 2005 jsem se dozvěděl o tom, že společnost Thawte nabízí zdarma certifikáty pro podpis a šifrování elektronické pošty. Zmínil jsem se o tom tehdy v jednom článku a začal jsem ke své spokojenosti tuto metodu používat. Kdo z vás ode mě někdy dostal mail, určitě v něm najde můj elektronický podpis od Thawte.
Časem jsem v rámci Web Of Trust získal dostatek bodů k ověřenému certifikátu a tak jsem se stal ověřeným uživatelem a dokonce také notářem – mohl jsem sám ověřovat identitu dalších lidí. Byl jsem s touhle službou velmi spokojen několik let.
Bohužel Thawte oznámil, že s certifikáty zdarma končí a kdo chce, ten si může další koupit za 19 dolarů na rok. Stávající uživatelé dostanou na první rok certifikát od VeriSign zadarmo.
Tahle změna situace mě donutila k zamyšlení a přehodnocení stavu šifrování. Nakonec jsem se rozhodl, že je čas opustit Thawte a najít si rozumné otevřené řešení. Je jasné, že jsem tedy skončil u GPG. Musím říct, že jsem z výsledku docela nadšený, čím víc to používám, tím víc se mi to líbí. Je to pekelně univerzální, naprosto jednoduše použitelné a v Linuxu to má ohromnou podporu a možnosti integrace jsou tedy skvělé.
Navíc zjišťuji, že GPG používá poměrně hodně lidí v mém okolí, takže komunikace obvykle není problém. Jedinou nevýhodou proti X.509 je, že je pro ověření potřeba vyvinout jisté úsilí, nainstalovat si příslušný software, stáhnout klíče a podobně. Na Thawte se mi líbilo, že tam nebylo třeba nic. Přišel vám mail, Outlook (bavíme se o lamách) ukázal zelenou fajvčičku a bylo.
Postěžoval jsem si Adamovi a posteskl si, že BFU už nebudou moci tak elegantně ověřit můj podpis. On mě ale uklidnil s tím, že lamy stejně ověřování naprosto ignorují, i když je pro ně plně automatizované. Což je vlastně pravda, takže nemá smysl se končícího Thawte nadále držet. Finíto, jedu plně na GPG.
K čemu je to dobré? Jednak k podepisování pošty, šifrování Jabberu, šifrování libovolných souborů, které si posíláme po internetu a podobně. S Adamem jsme se dohodli, že o GPG napíšeme velký seriál pro Roota, kde se budeme zabývat obecným základem (tvorba klíčů, nahrání na servery), integrací do systému (Jabber, pošta, soubory) až po instalaci vlastního klíčového serveru a využití ve firmách. Těšte se!
Ještě dodatek: můj klíč je exportovaný na veřejných serverech. Jeho fingerprint je 9FBEA4F5.
Jak šifrujete a podepisujete poštu?
-
Související články na blogu Petr Krčmář: blog nejen o Linuxu
-
Útoky na bash už běží 29. 9. 2014 9:57
-
Tip: šifrování souborů pomocí Vim 21. 2. 2014 20:48
-
Sběr osobních údajů aneb jak se hackuje Apple přes Amazon 7. 8. 2012 15:58
-
Proč není SuperChromePass v Chrome Store 11. 3. 2012 21:47
-
Blokování cookies na některých webech 7. 10. 2011 12:27
-
Je vykrádání FTP hesel řešitelné? 3. 5. 2010 9:12
-
-
Související články na ostatních blozích
-
WordPress zranitelnost v REST API je aktivně exploitována 7. 2. 2017 14:48
-
Top-10 bezpečnostních incidentů v srpnu 2016 2. 9. 2016 14:08
-
Odcizení přihlašovacích údajů k Windows jen pomocí webové stránky 4. 8. 2016 14:29
-
Top 10 bezpečnostních incidentů v červenci 2016 3. 8. 2016 13:41
-
Top-10 bezpečnostních incidentů v červnu 2016 1. 7. 2016 13:59
-
UK: ztracené peníze z Vašeho bankovního účtu? No, je to vaše vina 27. 5. 2016 16:02
-
-
_dave_007 (neregistrovaný)
Posledni dobou o zavedeni el. podpisu vazne uvazuji. Zatim jsem ho nepotreboval. Dokud byl internet spolecnosti bran jako hracka pro akademiky, a vetsinu me komunikace s internetovym okolim byla o tom jak se mam a kdy se zase uvidime, el. podpis skutecne nebyl potreba. Nemyslim, ze prave o me nekdo potreboval zjistovat kdy a kde mam rande.
Doba se ovsem zmenila. Dnes lze po internetu provadet jednak radu pravnich kroku, jako jsou nakupy, uzavirani ruznych pojistnych smluv. A pak, hodnota informaci prenasenych internetem znacne vzrostla, viz napriklad projektova komunikace ze zakaznikem, interni komunikace ve firme, lekarske zpravy atd. Myslim, ze je nejvyssi cas zacit el. podpis pouzivat.
Pred lety jsem si neco malo o GPG cetl, ale nejak nebyl cas a ani potreba do toho zabredavat hloubeji a tak se i ja na serial o GPG tesim.
Takzde diky autorovi!
-
corwin78 (neregistrovaný)
Také jsem používal GPG s pomocí Enigmailu v Thunderbirdu, ale od té doby co mám Gmail jsem neměl potřebu používat offline klient. Bohužel Gmail nemá nativní podporu certifikátů. X.509 lze v omezené míře používat pomocí rozšíření "Gmail S/MIME", ale pro GPG není nic. Navíc se mi nikdy nepodařilo vyřešit problém s komolením informací v hlavičce mailu, pokud je použita diaktritika - respektive to asi nejde.
BTW nevíte o nějakém free pluginu pro MS Outlook 2007, který musím mít v práci?
-
pavsyk (neregistrovaný)
No, zatím to moc nechápu. pokud bych měl certifikát vygenerovaný od Thawte nebo Verisignu, tak to jsou důvěryhodné certifikační autority. A GPG si, pokud to chápu správně, si generuju sám. Jak se zabrání tomu, aby si Otakar Fenykl nevygeneroval GPG certifikát na jméno Cyril Česnek a nevydával se za něj?
-
Petr Krčmář (neregistrovaný)
[10] Existuje takzvaná síť důvěry. Budeme o tom určitě psát v seriálu (mimochodem první díl je hotový). Funguje to tak, že lidé svým digitálním podpisem na serverech potvrzují, že klíče patří osobě, která je používá. Takto se například můžete přesvědčit o tom, že můj klíč podepsal Adam Štrauch a Dan Ohnesorg. Pokud někoho z nich dobře znáte a máte jejich klíče za důvěryhodné (třeba jste si Dana na nějaké konferenci osobně prohlédl a on potvrdil, že klíč s konkrétním fingerprintem je jeho), pak můžete stejně tak věřit mému klíči. Právě proto, že mu věří Dan. Ale i u GPG můžete používat certifikační autority. Jen to není povinné.
-
gorila (neregistrovaný)
Co se týče Jabberu, je na to XEP který podporuje jak podepisování tak šifrování.
Server do toho nijak nezasahuje. Klienti nejčastěji integrují GPG, někteří PGP (zatím vím jen o jednom a to je JAJC). Kombinace SMTPxJabber je pak závislá zda příslušný transport přenos podporuje a jakými směry. -
koso (neregistrovaný)
Takze s odchodom Thawte, uz zostalo len Comodo, ktore poskytuje aspon neoverene certifikaty, alebo o nejakom dalsom poskytovatelovi neviem?
PS: Dufam ze zaradite aj nejaky test, alebo aspon porovnanie schopnosti e-mail klientov a ich schpnosti pracovat s PGP/GPG. Mam totiz dost zle skusenosti z minulosti napr. s Thunderbirdom, ktory mal dost problemy s diakritikou, a to nehovorim o podpisovani spravy s viacerymi prilohami a podobne. Z tohto pohladu by bol zaujimavy prehlad podpory PGP/MIME, ktora moze konkurovat klasickemu S/MIME. A bez zaujmu o flame by nebolo zle pozriet sa aj na ostatne platformy, kedze nikto nevie, kam sa moze mail dostat :)
-
qwe (neregistrovaný)
X.509 certifikaty zadara mozete stale ziskat od StartCom Certification Authority -> http://www.startssl.com/
ČLÁNKY DO MAILU