Từ PGP là viết tắt của Pretty Good Privacy, có nghĩa là quyền riêng tư rất tốt. Đây là một phần mềm mã hóa được thiết kế để cung cấp quyền riêng tư và bảo mật và cũng thực hiện xác thực cho các hệ thống giao tiếp qua Internet. Phil Zimmerman là người sở hữu chương trình PGP đầu tiên và theo ông, nó đã được cung cấp miễn phí do nhu cầu xã hội ngày càng tăng về quyền riêng tư.
Nhiều phiên bản của phần mềm PGP đã được tạo ra kể từ khi nó ra đời vào năm 1991. Vào năm 1997, Phil Zimmerman đã đề xuất một nhóm nhiệm vụ kỹ thuật Internet (IETF) để tạo ra một tiêu chuẩn PGP mã nguồn mở. Sau đó, đề xuất này đã được chấp nhận và dẫn đến việc tạo ra giao thức OpenPGP, định nghĩa các định dạng tiêu chuẩn cho các khóa mã hóa và tin nhắn.
Mặc dù ban đầu chỉ được sử dụng để bảo mật email và tệp đính kèm, nhưng PGP hiện được áp dụng cho một loạt các trường hợp sử dụng bao gồm chữ ký số, mã hóa toàn bộ đĩa và bảo vệ mạng.
PGP ban đầu thuộc sở hữu của PGP Inc, sau đó được Network Associates Inc mua lại. Vào năm 2010, Symantec Corp đã mua PGP với giá 300 triệu đô la và thuật ngữ này hiện là một nhãn hiệu được sử dụng cho các sản phẩm tương thích với OpenPGP.
Nó hoạt động như thế nào?
PGP là một trong những phần mềm đầu tiên có sẵn trên diện rộng để thực hiện mã hóa khóa công khai. Đây là một hệ thống mã hóa lai sử dụng mã hóa đối xứng và không đối xứng để đạt được mức độ bảo mật cao.
Trong một quy trình đơn giản để mã hóa văn bản, văn bản thông thường (dữ liệu có thể hiểu được rõ ràng) được chuyển đổi thành văn bản đã mã hóa (dữ liệu không thể đọc được). Nhưng trước khi thực hiện quá trình mã hóa, hầu hết các hệ thống PGP nén dữ liệu bằng cách nén các tệp văn bản thông thường trước khi gửi để PGP tiết kiệm không gian đĩa và thời gian gửi đồng thời cải thiện bảo mật.
Sau khi nén tệp, quá trình mã hóa thực tế bắt đầu. Ở giai đoạn này, tệp văn bản thông thường đã nén được mã hóa bằng một khóa cho mục đích sử dụng cá nhân, được gọi là khóa phiên (session key). Khóa này được tạo ra ngẫu nhiên thông qua việc sử dụng mã hóa đối xứng và mỗi phiên kết nối PGP có một khóa phiên độc nhất.
Sau đó, khóa phiên (1) tự nó được mã hóa bằng mã hóa không đối xứng, trong đó người nhận dự kiến (Bob) cung cấp khóa công khai của mình (2) cho người gửi tin nhắn (Alice) để cô ấy có thể mã hóa khóa phiên. Bước này cho phép Alice chia sẻ khóa phiên một cách an toàn với Bob qua Internet bất kể điều kiện bảo mật.
Khóa phiên thường được mã hóa không đối xứng thông qua việc sử dụng thuật toán RSA. Nhiều hệ thống mã hóa khác cũng sử dụng RSA, bao gồm giao thức bảo mật lớp truyền tải (TLS) mà bảo vệ một phần lớn của Internet.
Khi văn bản đã mã hóa của tin nhắn và khóa phiên đã mã hóa được gửi đi, Bob có thể sử dụng khóa riêng của mình (3) để giải mã khóa phiên, khóa này sau đó được sử dụng để giải mã văn bản đã mã hóa trở lại và chuyển đổi thành văn bản thông thường gốc.
Ngoài quy trình cơ bản của mã hóa và giải mã, PGP cũng hỗ trợ chữ ký số, phục vụ ít nhất ba chức năng:
Xác thực: Bob có thể xác minh rằng người gửi tin nhắn là Alice.
Tính toàn vẹn: Bob có thể chắc chắn rằng tin nhắn không bị thay đổi.
Không thể chối cãi: Sau khi ký tin nhắn một cách số hóa, Alice không thể tuyên bố rằng cô ấy chưa gửi nó.
Các trường hợp sử dụng
Một trong những ứng dụng phổ biến nhất của PGP là bảo mật email. Email được bảo vệ bởi PGP được chuyển đổi thành một chuỗi các ký tự không thể đọc được (văn bản đã mã hóa) và chỉ có thể được giải mã bằng khóa giải mã tương ứng. Các cơ chế hoạt động về cơ bản giống nhau để bảo mật tin nhắn văn bản. Cũng có một số ứng dụng phần mềm cho phép thực hiện PGP trên các ứng dụng khác, hiệu quả thêm một hệ thống mã hóa vào các dịch vụ nhắn tin không an toàn.
Mặc dù PGP chủ yếu được sử dụng để bảo mật các giao tiếp qua Internet, nhưng nó cũng có thể được áp dụng để mã hóa các thiết bị riêng lẻ. Điều này có nghĩa là PGP có thể được áp dụng cho các phân vùng đĩa của một máy tính hoặc thiết bị di động. Có nghĩa là khi mã hóa ổ cứng, người dùng sẽ được yêu cầu cung cấp mật khẩu mỗi khi hệ thống khởi động.
Ưu và nhược điểm
Nhờ việc sử dụng chung giữa mã hóa đối xứng và mã hóa không đối xứng, PGP cho phép người dùng chia sẻ thông tin và khóa mã hóa một cách an toàn qua Internet. PGP tận dụng cả tính bảo mật của mã hóa không đối xứng và tốc độ của mã hóa đối xứng như một hệ thống lai. Ngoài bảo mật và tốc độ, chữ ký số cũng đảm bảo tính toàn vẹn của dữ liệu và tính xác thực của người gửi.
Hiện tại, giao thức OpenPGP được cho phép để xuất hiện môi trường cạnh tranh đồng nhất và các giải pháp PGP từ nhiều công ty và tổ chức. Tuy nhiên, tất cả các phần mềm PGP tương thích với tiêu chuẩn OpenPGP đều tương thích với nhau. Điều này có nghĩa là các tệp và khóa được tạo ra trong một phần mềm có thể được sử dụng trong các phần mềm khác mà không gặp vấn đề.
Về nhược điểm, các hệ thống PGP không dễ sử dụng và hiểu, đặc biệt đối với những người dùng có ít kiến thức kỹ thuật. Và cũng có nhiều người cho rằng độ dài của các khóa công khai dài tương đối không thoải mái.
Vào năm 2018, một lỗ hổng bảo mật lớn có tên EFAIL đã được công bố bởi Quỹ Electronic Frontier (EFF). EFAIL cho phép kẻ tấn công khai thác nội dung HTML động trong các email mã hóa để truy cập vào các phiên bản email chưa mã hóa.
Nhưng một số mối lo ngại mà EFAIL mô tả đã được cộng đồng PGP biết đến từ cuối những năm 1990. Thực tế, các điểm yếu liên quan đến các ứng dụng khác nhau từ phía khách hàng email chứ không phải do PGP. Vì vậy, mặc dù có những tiêu đề gây khó chịu và gây hiểu lầm, PGP vẫn rất an toàn.
Ý tưởng kết thúc
PGP đã trở thành một công cụ thiết yếu để bảo vệ dữ liệu và hiện được sử dụng trong một loạt các ứng dụng kể từ khi được tạo ra vào năm 1991, cung cấp quyền riêng tư, bảo mật và xác thực cho nhiều hệ thống truyền thông và nhà cung cấp dịch vụ kỹ thuật số.
Trong khi phát hiện năm 2018 về lỗi EFAIL đã gây ra những lo ngại lớn về tính khả thi của giao thức, nó vẫn được xem là công nghệ cơ bản mạnh mẽ và vững chắc về mặt mã hóa. Cũng cần lưu ý rằng các ứng dụng PGP khác nhau có thể cung cấp các mức độ bảo mật khác nhau.