Autodifesa Email

Step 1.A Installa e configura il programma di posta elettronica con il tuo account email (se non lo hai già fatto).

Apri il programma e segui l'installazione guidata per impostarlo con il tuo account email.

Step 1.b Installa il plugin Enigmail per il tuo programma.

Nel menù del client mail, seleziona Add-on (solitamente si trova nella sezione Strumenti). Assicurati di aver cliccato su Estensioni, nell'elenco a destra. Vedi già Enigmail? Se è così puoi saltare questo Step.

Se non compare, cerca “Enigmail” nella barra di ricerca in alto a destra. Adesso puoi installarlo da qua. Riavvia il programma e sarai pronto per cominciare.

Step 2.a Creazione delle due chiavi

Nel menù del tuo programma di posta, seleziona OpenPGP → Installazione guidata. Puoi anche non leggere il testo presente all'interno della finestra che appare – a meno che non si voglia – ma è meglio leggere il testo delle finestre successive.

Nella seconda schermata, chiamata “Firma”, seleziona “No, preferisco creare delle regole, in base al destinatario, per le mail che devono essere firmate”.

Usa le opzioni di default fino a quando ti si presenta una schermata intitolata “Crea chiavi”.

In questa schermata scegli una password robusta! La password deve essere di almeno 12 caratteri ed includere almeno una lettera minuscola o maiuscola e almeno un numero o un simbolo di punteggiatura. Non dimenticare la password, o tutto questo lavoro sarà sprecato!

Il programma si prenderà un po' di tempo per completare il passaggio successivo: la creazione delle chiavi. Mentre si attende, è bene effettuare qualcosa di diverso con il computer, come guardare un film o navigare sul web. Quanto più si utilizza il computer, a questo punto, più velocemente avverrà la creazione della chiave.

Quando appare la finestra “Conferma OpenPGP”, seleziona “Genera Certificato” e salvalo in un posto sicuro sul tuo computer (noi ti consigliamo di creare una cartella chiamata “Revoca Certificato” nella tua cartella home e di tenerla lì). Il processo guidato ti chiederà di spostare il certificato in un dispositivo di memoria esterno, ma ciò non è necessario al momento. Potrai scoprire qualcosa in più riguardo al certificato di revoca nella Sezione 5.

Step 2.b Carica la tua chiave pubblica su un keyserver

Nel menù del tuo programma di posta. Seleziona OpenPGP → Gestione Chiavi

Click destro sulla tua chiave e vai su “Carica la tua chiave pubblica su un keyserver”. Usa il keyserver impostato in automatico dal programma.

Adesso chiunque voglia inviarti una email criptata potrà scaricare la tua chiave pubblica da internet. Ci sono molti keyserver a disposizione dove si può caricare la propria chiave pubblica, ma sono tutti uno copia dell'altro, perciò non importa quale viene usato. Tuttavia, qualche volta possono volerci ore per far si che tutti i keyserver si sincronizzino tra loro per aggiungere una nuova chiave.

GnuPG, OpenPGP, cosa?

Tu, adesso, stai usando un software chiamato GnuPG, ma nel menù del tuo programma di posta è chiamato OpenPGP. Sei un po' confuso, vero? In generale i termini GnuPG, GPG, Gnu Privacy Guard, OpenPGP e PGP sono utilizzati come sinonimi, anche se tutti questi hanno dei significati leggermente diversi.

Step 3.a Invia la tua chiave pubblica ad Edward

Questo è uno step speciale che non dovrai fare quando vuoi avere una corrispondenza con una persona reale. Nel menù del tuo programma di posta, seleziona OpenPGP → Gestione Chiavi. Dovresti vedere la tua chiave nella lista contenuta nella finestra che ti è appena apparsa. Fai click destro sulla tua chiave e seleziona “Invia chiave pubblica tramite Email”. Questo creerà un nuovo messaggio nel quale tu potrai scrivere direttamente l'oggetto e il corpo della mail.

Indirizza la mail all'indirizzo edward-en@fsf.org. Inserisci una parola (qualsiasi tu voglia) nel campo dell'oggetto e nel corpo della mail e poi inviala.

Edward impiegherà all'incirca due-tre minuti per rispondere. Nel frattempo, potresti saltare avanti nella guida e leggere la sezione Usarlo al meglio di questa guida. Dopo che Edward avrà inviato la sua risposta, si potrà passare al prossimo Step. Da questo momento in poi, tutto ciò che verrà fatto dovrà essere eseguito anche quando si vuole comunicare con delle persone reali.

Step 3.b Invia una mail con testo criptato

Scrivi una mail nel tuo programma di posta, indirizzala ad edward-en@fsf.org. Come oggetto scrivi "Test crittografia" o qualcosa di simile e scrivi qualcosa nel corpo della mail. Non inviarla immediatamente.

Clicca sull'icona della chiave in alto a destra nella finestra di composizione (dovrebbe diventare gialla). Questo fa capire ad Enigmail che la mail deve essere criptata.

Subito dopo l'icona della chiave noterai l'icona di una matita. Cliccando su di essa, diremo ad Enigmail di aggiungere una speciale ed unica firma nel messaggio, generata usando la tua chiave privata. Questa è una caratteristica diversa dalla crittografia e quindi tu non dovrai usarla per questa guida.

Click su invia. Enigmail ti mostrerà una finestra che dice: “Contenitore non valido, non fidato o non trovato”.

Per mandare una mail criptata ad Edward, tu hai bisogno della sua chiave pubblica, quindi Enigmail dovrà scaricarla dal keyserver. Per fare ciò bisogna cliccare su Scarica chiavi perdute e scegliere il keyserver selezionato di default dal programma. Dopo che il programma trova le chiavi, controlla la prima (l'ID della chiave comincia con la lettera C), quindi scegli ok. Fai lo stesso per la schermata successiva.

Adesso sei ritornato nella finestra “Contenitore non valido, non fidato o non trovato”. Seleziona la chiave di Edward dalla lista e clicca su ok. Se il messaggio non si invia automaticamente, puoi cliccare sul tasto invia adesso.

Importante: Suggerimenti sulla sicurezza

Anche se la mail è crittografata, l'oggetto non lo è. Quindi fai in modo di non mettere informazioni private lì. Gli indirizzi del mittente e del destinatario non sono crittografati, perciò potrebbero essere letti da un sistema di sorveglianza. Quando si inviano allegati, Enigmail chiederà se cifrare anch'essi.

E' anche buona norma fare clic sull'icona della chiave nella finestra di composizione della posta elettronica prima di iniziare a scrivere. In caso contrario, il tuo client di posta elettronica potrebbe salvare una bozza non crittografata sul server di posta, esponendolo potenzialmente alla tecnica dello snooping.

Step 3.c Ricevere una risposta

Quando Edward riceverà la tua mail, userà la sua chiave privata per decriptarla. Successivamente preleverà la tua chiave pubblica da un keyserver e la userà per criptare un messaggio di risposta destinato a te.

Da quando hai criptato questa mail con la chiave pubblica di Edward, è necessaria la relativa chiave privata per decriptarla. Edward è l'unico a possedere la sua chiave privata, nessun altro eccetto lui — nemmeno tu — puoi decriptarla.

Edward impiegherà all'incirca due-tre minuti per rispondere. Nel frattempo, potresti saltare avanti nella guida e leggere la sezione Usarlo al meglio di questa guida.

Quando riceverai ed aprirai la mail di Edward, Enigmail automaticamente rileverà che la mail è criptata con la tua chiave pubblica e quindi userà la tua chiave privata per decriptarlo.

Nota la barra che Enigmail mostra sopra il messaggio con le informazioni sullo stato della chiave di Edward.

Step 4.a Firmare una chiave

Nel menù del tuo programma di posta, vai in PGP → Gestione Chiavi

Click destro sulla chiave pubblica di Edward e seleziona “Firma Chiave” dal menù contestuale.

Nella finestra che appare, seleziona “Non risponderò” e clicca su Ok.

Ritornando nel menù del programma, vai su PGP → Gestione Chiavi → Keyserver → Carica Chiavi Pubbliche e scegli ok.

Così hai appena detto “Io ho fiducia nel fatto che la chiave pubblica di Edward appartiene realmente ad Edward”. In questo particolare caso, questa operazione non significa molto perché Edward non è una persona reale, ma fare questo con i nostri contatti è una buona pratica.

Importante: assicurati dell'identità della persona prima di firmare la sua chiave

Prima di firmare la chiave di una persona reale, assicurati che la chiave appartenga a lui e che lui sia veramente chi dice di essere. Chiedigli di mostrarti il suo Key ID (a meno che sia una persona di fiducia) e l'impronta della sua chiave pubblica – non soltanto il Key ID, che potrebbe anche riferirsi ad un'altra chiave. In Enigmail rispondi onestamente nella finestra che si apre e chiede: "Con quanta attenzione hai verificato che la chiave che stai per firmare in realtà appartiene alla persona sopracitata?".

Quando dovrei criptare?

Quanto più è possibile crittografare i messaggi, meglio è. Se si criptano e-mail di tanto in tanto, ogni messaggio cifrato potrebbe essere un campanellino di allarme per i sistemi di sorveglianza. Se tutte o la maggior parte delle tue email venissero criptate, le persone che si occupano della sorveglianza non saprebbero nemmeno da dove cominciare.

Questo non vuol dire che la crittografia di soltanto alcune delle tue email non è utile – anzi, è un ottimo inizio e rende la sorveglianza di massa più difficile.

Importante: Diffidare le chiavi non valide

GnuPG rende la posta elettronica più sicura, ma è comunque importante controllare la presenza di chiavi non valide, che avrebbero potuto far cadere le tue mail nelle mani sbagliate. Le email cifrate con chiavi non valide possono essere lette dai programmi di sorveglianza.

Nel tuo programma di posta elettronica, torna alla seconda e-mail che Edward ti ha inviato. Siccome Edward ha cifrato la mail con la tua chiave pubblica, dovresti vedere un messaggio di OpenPGP nella parte superiore, che molto probabilmente dice "OpenPGP: Parte di questo messaggio è cifrato."

Quando usi GnuPG, prendi l'abitudine di guardare quella barra. Il programma ti avviserà lì se la mail è cifrata con una chiave che non può essere attendibile.

Copiare il certificato di revoca da qualche parte al sicuro

Ricordi che, quando hai creato le tue chiavi, hai anche salvato il certificato di revoca che GnuPG ha fatto? E' tempo di copiare il certificato sul dispositivo di memoria più sicuro che hai - la cosa ideale è un flash drive (pen drive), CD, o disco rigido conservato in un luogo sicuro in casa.

Se la chiave privata viene persa o rubata, avrai bisogno di questo certificato per far sapere che non sei più tu ad usare quella coppia di chiavi.

Importante: agisci rapidamente se qualcuno ottiene la tua chiave privata

Se perdi la tua chiave privata o qualcuno se ne impossessa (ad esempio rubando o crackando il tuo computer), è importante che tu la revochi immediatamente prima che qualcun altro possa usarla per leggere le tue email criptate. Questa guida non spiega come revocare una chiave, ma è possibile seguire le istruzioni sul sito GnuPG. Dopo aver effettuato la revoca, invia una mail a tutti i contatti che solitamente utilizzano la tua chiave per scriverti, per assicurarti che essi sappiano tutto e che di conseguenza evitino di inviarti mail criptate con la chiave pubblica revocata.