Kort guide till ökad data/internet-säkerhet

För att kunna kommunicera säkert över Internet och för att använda datorer på ett säkrare sätt, så krävs det att man är något insatt i de krypteringsprogram med mer som finns tillgängliga. Här följer några råd, men tänk dock på att inget är helt säkert, och att allt inte är meningen att skrivas ned...

Det vanligaste och bästa krypteringsprogrammet som finns tillgängligt just nu kallas PGP (Pretty Good Privacy). Detta programmet är helt gratis, och detta till trots så är det även det bästa. PGP utvecklades från början nämligen av personer som var ute efter ett program som gav verkligt skydd - inte för att tjäna pengar. PGP börjar också bli standard för kryptering på datorer, och krypterar såväl text och filer på ett bra men enkelt sätt.

Är PGP säkert?
Inget krypteringssätt är 100 % säkert, utan det handlar istället om hur lång tid det tar att knäcka ett krypteringssystem. Det som avgör hur säker en PGP-kryptering är, är nyckellängden på den nyckel man har som krypterar brevet. Idag kan man välja nycklar på upp till 4096 bitar, och som jämförelse kan man säga att det krävs 250 seriekopplade toppmoderna superdatorer för att knäcka en PGP-nyckel på 768 bitar, vilket tar cirka fyra-sex dygn. Detta är baserat på ett verkligt test. I Sverige finns det minst fyra superdatorer, varav tre är av denna klass. En på KTH i Stockholm, som tillhör de bästa i världen och minst två inom militären. KTHs superdator är dock inte lämpad för den sorts beräkningar som krävs för att knäcka PGP. Exakt vad militären har vet vi inte. Så eventuellt har militären två superdatorer av rätt sort. Om vi omvandlar exemplet ovan skulle båda behöva tugga i c:a 750-1500 dygn (eller 2-4 år) för att knäcka en PGP-nyckel på 768-bitar. Upphovsmannen bakom PGP - Phil Zimmerman ­ har i två omgångar ställts inför amerikansk domstol, anklagad för "olaga export av militärmaterial" (det vill säga PGP), eftersom krypteringen varit av liknande karaktär, och lika säker som militärens. Krypteringsalgoritmerna i PGP är inget amatör hopkok, utan har utvecklats av några av världens främsta kryptologer (kryptolog är en akademisk titel). Kryptologer världen över roar sig med att försöka hitta svagheter i de algoritmer som PGP baseras på. Om det är en merit vet jag inte, men amerikanska försvaret använde(r) delvis samma algoritmer som används i PGP, för att kryptera nycklarna till sina kärnvapen. Det finns inget program att köpa för pengar som är bättre än PGP, däremot finns det massor som är smörja och lurendrejeri.

Hur PGP fungerar
PGP fungerar så att varje användare har en offentlig nyckel och en privat. Den offentliga skickar man iväg som ett textblock till alla som man vill ska kunna skicka brev/filer till en (eller lägger upp den på en hemsida eller på ett PGP nyckel bibliotek). Den privata har man enbart för sig själv, för att kunna koda upp de breven/filerna man fått av andra. När du själv ska skicka ett brev/fil till någon, så måste du ha dennes offentliga nyckel inlagd i din PGP-nyckelring (se nedan). Från det ögonblick du har kodat brevet/filen med personens offentliga nyckel, så kan ingen annan en den personen som har den privata nyckeln (kopplat till den offentliga nyckeln) koda upp brevet/filen. Du kan alltså inte ens koda upp ett brev som du skrivit och kodat själv (såvida du inte har den privata nyckeln förstås). Dock finns en funktion i programmet som gör att du kan låta alla krypteringar även krypteras med din egen nyckel, och då kan ju både den/de du skickar till, och du själv, kryptera upp brevet.

Hur du använder PGP
Du bör börja med att ladda ned samt installera PGP på den dator du tänkt använda för att kryptera brev/filer (det är alltså svårigheter att använda PGP-kryptering om man inte har en dator själv, utan går till internet-caféer etc). PGP laddar du ned ifrån PGPI.com. Där väljer du "download", och följer sedan instruktionerna. När du hämtat hem programmet så installerar du det på datorn med det installeringsprogram som medföljer - följ instruktionerna. Efter det är programmet klart för att användas. De råd som ges här är grundläggande, och är skrivna för att passa så många användare som möjligt, men det finns funktioner i PGP som kan göra kryptering enklare än hur vi beskrivit det.

Skapa, sprida och hämta nycklar
Det första du bör göra är att skaffa dig själv ett nyckelpar (offentlig och privat). Vill du ha ett ännu säkrare nyckelpar än vad som erbjuds från början, rekommenderas du att välja bort krysset för "Faster key generation" i "Preferences" i Edit-menyn. Detta gör att nycklarna blir säkrare, men att det tar något längre tid att skapa dem, men inverkar senare ingenting på vare sig tiden för kryptering eller dekryptering.
Skapandet av nycklar gör du genom att starta PGP Keys, och välja "New key" under "Keys"-menyn. Följ sedan instruktionerna som ges där. När detta är gjort ska det finnas två nya filer i din PGP-mapp - pubring.skr och secring.skr. Pubring är den så kallade nyckelring där du sparar alla nycklar till kompisar etc. som du vill kunna skicka kodade brev till. Secring är den filen som innehåller din privata nyckel. Denna filen bör ingen annan än du ha tillgång till (mer information nedan).
För att sprida din offentliga PGP-nyckel så startar du PGP Keys, klickar på ditt namn/e-post, och väljer "Copy" under "Edit"-menyn. Då läggs din offentliga PGP-nyckel i clipboarden, och kan sedan klistras in i brev etc. genom att välja "Paste" (eller "Klistra in") i "Edit"-menyn (eller "Redigera"-menyn på svenska). Den blandingen av tecken som kommer fram då är alltså din offentliga PGP-nyckel. Alla som sedan vill kunna skicka till dig, lägger alltså sedan in denna nyckel i sin egen nyckelring.
För att kunna lägga in andras offentliga nycklar (som gör det möjligt för dig att kunna skicka brev till dem), så måste de på något sätt ge dig deras offentliga nyckel - antingen genom e-post eller genom till exempel en hemsida. Då markerar du hela det blocket av text (alltså även raderna "-----BEGIN PGP PUBLIC KEY BLOCK-----" och "-----END PGP PUBLIC KEY BLOCK-----", och kopierar detta (med Edit/Redigera + Copy/Kopiera). Sedan går du till PGP Keys, och väljer "Paste" under "Edit"-menyn.

Att verifiera offentliga nycklar
Använder man PGP på fel sätt, så kan det ge en falsk bil av en säkerhet som man tror sig skapat, men som i själva verket inte är så säker. Sätt dig in i följande situation så kanske du förstår hur PGP kan komma att fungera osäkert:
Lisa ska skicka ett krypterat brev till Kalle, och ber därför Kalle skicka sin offentliga nyckel till henne. Kalle gör då detta, men på vägen bryts kommunikationen av Gösta, som är en elak person som vill kunna läsa all kommunikation mellan Lisa och Kalle. Gösta har då skaffat sig ett nyckelpar som har samma e-post och namn som Kalle har, och byter ut Kalles offentliga nyckel till den nyckeln som Gösta gjort. Sedan skickar Gösta vidare brevet till Lisa, som får brevet utan att ha märkt att någonting är ändrat med det. Lisa skriver nu en plan på hur man ska slå till emot Göstas farm i sitt e-post, och krypterar det och skickar det till Kalle. Gösta, som är på alerten, bryter sig då in igen, och eftersom brevet är kodat med den offentliga nyckeln som Gösta har den privata nyckeln till, så har han också möjlighet att kunna läsa vad Lisa skriver. När Gösta läst klart, så kan han kryptera om brevet med Kalles offentliga nyckel, så att han kan skicka vidare det till Kalle utan att Kalle märker någonting.
Kalle tar nu emot brevet, krypterar upp det, och svarar kanske med att "Visst. Bra plan, vi slår till nu på onsdag". Gösta är nu benägen att göra precis samma sak som han gjorde i den tidigare kommunikationen, och alltså kunna läsa de bådas brev, fastän att de är krypterade.
Vad kan man då lära sig av denna historien? Jo, dels att man inte bör diskutera vad som helst per e-post; men framförallt att man måste ha bevis för att den offentliga nyckeln som man får verkligen kommer från den personen som man tror att den kommer ifrån. Detta görs enklast genom att kontrollera det "fingerprint" som finns till varje nyckel. Detta får du fram genom att markera en nyckel i PGP Keys, och sedan välja "Key properties" under Keys-menyn. Det bästa är nu om du kan ringa upp personen som är ägare till den offentliga nyckeln, och be hon eller han att läsa upp sitt fingerprint. Stämmer det överens med det du har, så är det fritt fram att kryptera till den personen du ringt upp.
Det kanske kan verka svårt för Gösta i den historien som nyss nämndes, att hinna stanna alla brev och hinna kryptera upp, och återkryptera alla brev; men med dagens datorer så är det gjort med en gång, utan att någon av parterna märker någonting utav det.

Att signera nycklar
För att underlätta ditt arbete med att kunna veta vilka nycklar som går att lita på och inte, så bör du signera de nycklar som du litar på, vilket du kan göra i PGP Keys. Då markerar du den nyckeln som du vet är riktig, väljer "Sign" under Keys-menyn, och väljer sedan ok. Efter det skriver du in ditt lösenord, och efter det är nyckeln signerad. Då blir den runda punkten till vänster om namnet och lösenordet grönt istället för grått.

Att kryptera text och filer
För att kryptera text så skriver du texten som vanligt. Sedan kopierar du denna texten (Edit/Redigera + Copy/Kopiera). Sedan kan du välja mellan att starta PGP Tools från Start-menyn/ikoner etc., eller att starta det från menyn längst ned till höger på sidan. Väljer du det första alternativet, så trycker du på brevet med det halva hänglåset (Encrypt). Efter det trycker du på "Clipboard" längst ned på rutan som kommer upp. Då kommer en ny ruta upp där du kan välja vem eller vilka som ska kunna kryptera upp brevet. Du väljer mottagare genom att markera och dra ned namnen till den nedre av de två rutorna. Tryck sedan på "OK", och allt är klart. Det enda du behöver göra nu är att klistra in texten i ditt e-post (Edit/Redigera + PasteKlistra in).
Om du väljer det andra alternativet, så är det bara att kopiera texten, trycka på PGP-symbolen längst ned till höger på skärmen, och välja "Encrypt Clipboard". Sedan klistrar du in texten som vanligt.
För att kryptera filer, så markerar du filen/filerna i Utforskaren. Sedan klickar du på höger musknapp, och väljer "PGP" följt av "Encrypt". Sedan väljer du på samma sätt vem/vilka som ska kunna koda upp filen, och när det är klart så skapas en fil som är kodad.

Att signera brev och filer
Ett annat problem än det redan nämnda med kryptering, kan vara att vem som helst kan kryptera brev till dig, och sätta någon annan som avsändare om de vet hur detta går till. Gösta kan ju till exempel fortfarande kryptera brev med Kalles offentliga nyckel, och skicka det brevet till Lisa, och försöka få Lisa att tro att det är Kalle som skickat det. Exempelvis skulle Gösta kunna skriva att "kom dit och dit på den tiden" eller något liknande, vilket gör att Kalle kanske faktiskt gör det.
För att undgå detta problemet, så är det bra att man signerar brev och filer varje gång man ska skicka dessa till andra. Detta gör du enklast i samma veva som krypteringsprocessen, och väljer då "Encrypt & sign" istället för bara encrypt. Den ensa skillnaden jämfört med att bara kryptera är att du får skriva in ditt lösenord när du ska signera och kryptera brevet. Om Kalle nu får ett brev som är signerat, så dyker det upp en skärm efter dekrypteringen, som talar om att signeringen är sann, det vill säga att den kommer från Lisa.

Att kryptera upp text och filer
För att kryptera upp text, så markerar du texten, och väljer sedan om du vill använda PGP Tools, eller om du vill gå ifrån PGP-symbolen längst ned till höger. Om du väljer PGP Tools så tryck på bilden med bladet som flyger upp ur kuvertet (Decrypt/Verify). Sedan väljer du "Clipboard" längst ned till höger, följt av det lösenord som du valt ska finnas till din privata PGP-nyckel (lösenordet väljer du vid skapandet av en ny nyckel). Skriver du in rätt kod så ska en ruta komma upp med den text som var krypterad. Vill du gå via PGP-symbolen längst ned till höger, så välj "Decrypt/Verify Clipboard", följt av ditt lösenord. För att kryptera upp filer, så markera filen i Utforskaren, tryck på höger musknapp, välj "PGP" följt av "Decypt/Verify". Sedan får du skriva in ditt lösenord, och efter det skapas den ursprungliga filen i samma mapp.

Att radera filer säkert
I PGP finns även en extrafunktion med namnet "Wipe" som är ett säkert sätt att radera filer med. I vanliga fall när man raderar filer, så tas de i själva verket inte bort från hårddisken/disketten, utan de förflyttas bara till Papperskorgen. Även om man tömmer eller raderar filer från Papperskorgen, så försvinner de inte för det - det enda som händer är att namnet försvinner från listan över filer. Med rätt program kan man på ett enkelt sätt få tillbaka sådana "raderade" filer. Med "Wipe" så försvinner dock filerna på riktigt. För att använda det, så markera filen i Utforskaren, tryck höger musknapp, välj PGP följt av "Wipe", och sedan "OK". Var dock försiktig så att du inte raderar fel filer, för det finns inget sätt att få tillbaka dem efter att du tagit bort dem.

Hur du förvarar din privata PGP-nyckel
PGP bygger alltså på att du krypterar upp brev med din privata nyckel. Även om denna nyckeln skyddas av ett lösenord, så är det ju inte alltför bra att fel personer får tag på den här nyckeln. Att fel personer skulle kunna få tag på din privata nyckel kan ske på olika sätt, till exempel genom att din dator beslagtas, eller genom att någon hackar in på din dator när du är uppkopplad till Internet, eller på något annat sätt använder ett modem. Du skyddar dig bäst genom att överhuvudtaget inte ha din privata PGP-nyckel på din dator, utan på diskett. Då måste du alltså sätta i denna disketten varje gång du ska kryptera upp ett brev. För att PGP ska kunna hitta nyckeln så måste du också lägga in detta på programmet. Detta görs genom att starta PGP Keys, och välja "Preferences" under "Edit"-menyn. Sedan klickar du på fliken kallad "Files", och skriver "A:secring.skr" på raden under "Private Key Ring File".
Du bör ju dock se upp med att inte låta denna disketten hamna i fel händer. Tänk också på att efter du har kopierat din privata PGP-nyckel till disketten, så radera de på hårddisken med "Wipe", så att de verkligen försvinner. Tänk också på att om din privata PGP-nyckel försvinner, så finns det inga sätt att kunna koda upp brev som du mottar eller gamla filer som du kanske krypterat själv; så gör back up:er på andra disketter som du förvarar säkert.

Råd när du väljer lösenord
För att göra det svårare för någon eller några att knäcka ditt lösenord, så bör du tänka på vissa saker. Det första är att du aldrig bör skriva ned ditt lösenord. Ta dig istället gott om tid till att memorera det, eller skriv det på ett papper några hundra gånger (som du sedan bränner). När du väljer lösenord så välj inte ett namn, ett datum eller ett ord som finns i till exempel ordböcker, eller en kombination av till exempel namn och datum/nummer. Ofta när man knäcker lösenord så använder man sig av datorer som går igenom ordböcker, och för att ge en viss koll så kan vi säga att en vanlig ordlista på ett ordbehandlingsprogram är 100 KB, och en typisk hackares ordlista är 130 MB, så då kan du ju tänka dig vad myndigheter av diverse slag har.
Ett bra råd kan vara att välja en lösenmening snarare än ett lösenord. Ett lösenord/lösenmening ska vara skapat på det sättet att det är lätt att komma ihåg, samtidigt som det ska vara omöjligt att gissa/knäcka. Att glömma bort sitt lösenord kan ju innebära en smärre katastrof eftersom man då inte längre har möjlighet att få tillgång till de filer som man kryperat.
Det bästa är om man tar sådant som redan finns i ens minne, det vill säga något som man kommer ihåg sedan tidigare i långtidsminnet (istället för att hitta på något under tiden man sitter framför datorn). Det kan vara en mening ur en sångtext, en dikt, ett stycke ur en bok etc - man väljer helt enkelt ett stycke text som man redan minns. Men man bör undvika till exempel ordspråk, eftersom dessa är lika enkla att testa mot som ord. Undvik också sådana uttryck som du kanske har gått och spridit runt omkring dig, eftersom detta isåfall blir lätt att gissa sig till.
Tänk också på att inte använda samma lösenord till PGP som du använder till ditt e-post konto etc. Många så kallade krypteringar är nämligen inte speciellt svåra att knäcka, så därför skiter ju sig allting när de lyckats knäcka en kod (om du har samma kod till allting vill säga). Till PGP bör du alltså använda en kod som du inte har till något annat.