Bảo Mật EMAIL Với PGP

BÁO CÁO BÀI TậP LớNĐỀ TÀI: BẢO MẬT EMAIL VỚI PGP  MụC LụCCHƯƠNG 1: EMAIL21.Khái niệm22.Lợi ích của thư điện tử23.Các giao thức3CHƯƠNG 2: TỔNG QUAN VỀ PGP51.PGP là gì ?52.Ứng dụng của PGP53.Hoạt Động của PGP64.An ninh95.Lịch sử phát triển của PGP10CHƯƠNG 3: DEMO MÃ HÓA EMAIL BẰNG OPEN PGP13 CHƯƠNG 1: EMAIL1.Khái niệmThư điện tử, hay email (từ chữ Electronic Mail), là một hệ thống chuyển nhận thư từ qua các mạng máy tính.Email là một phương tiện thông tin rất nhanh. Một mẫu thông tin (thư từ) có thể được gửi đi ở dạng mã hoá hay dạng thông thường và được chuyển qua các mạng máy tính đặc biệt là mạng Internet. Nó có thể chuyển mẫu thông tin từ một máy nguồn tới một hay rất nhiều máy nhận trong cùng lúc.Ngày nay, email chẳng những có thể truyền gửi được chữ, nó còn có thể truyền được các dạng thông tin khác như hình ảnh, âm thanh, phim, và đặc biệt các phần mềm thư điện tử kiểu mới còn có thể hiển thị các email dạng sống động tương thích với kiểu tệp HTML.2.Lợi ích của thư điện tửThay vì viết thư bằng giấy mực và bút thì người gửi chỉ cần gõ chữ từ bàn phím của máy tính và biết dùng một phần mềm thư điện tử (email program).Lá thư được gửi trên hệ thống bưu chính là vật liệu không cần máy nhận hay máy gửi. Trong khi đó, nếu gửi thư điện tử, chỉ có các tín hiệu điện mã hoá nội dung bức thư điện tử được truyền đi đến máy nhận. Do đó, chỉ có nội dung hay cách trình bày lá thư điện tử là được bảo toàn. Trong khi đó, dùng đường bưu điện người ta có thể gửi đi các vật liệu hàm chứa thêm nội dung hay ý nghĩa khác. Điều này có thể rất quan trọng đối với nhiều người.Vận tốc truyền thư điện tử chỉ vài giây đến vài phút và chi phí rất nhỏ không đáng kể so với gửi qua đường bưu điệnDùng thư điện tử thì bất kỳ lúc nào cũng có thể mở phần mềm thư điện tử ra đọc nên tiện lợi hơn là việc phải bỏ thư ở các thùng thư. Đồng thời, vì mỗi người dùng thư đều phải nhập mật khẩu vào máy nên thư điện tử sẽ khó bị người ở chung đọc lén so với thư gửi bưu điện. Nhưng ngược lại, các tay tin tặc xa lạ có thể xâm nhập vào hệ thống thư điện tử của cá nhân nếu như các mật mã hay các hệ thống an toàn phần mềm bị bẻ gãy.Khối lượng gửi và nhận thư điện tử có thể nhiều hơn thư bưu điện rất nhiều lần. Đối với các dịch vụ thư điện tử mới thì dung lượng có thể lên đến hàng Gbyte như dịch vụ của Gmail chẳng hạn, hay nhiều hơn. Số thư có thể dự trữ trong dung lượng này tương đương với vài bộ tự điển bách khoa.Các trường hợp thư phá hoại trên hệ thống bưu điện (như là thư có bột antrax, thư bom, ...) rất hiếm có nhưng có thể gây thương vong. Ngược lại, hệ thống thư điện tử, không thể gây thương tích mà thường rất phải đương đầu với nhiều vấn nạn như virus máy tính, các thư nhũng lạm (spam mail), các thư quảng cáo (advertisement mail) và các thư khiêu dụ tình dục (pornography mail), đặc biệt là cho trẻ em, thì lại rất nhiều. Đối với các loại thư độc hại (malicious mail) này người dùng cần phải cài đặt thêm các tiện ích hay chức năng lọc (sẵn có trong phần mềm hay phải mua thêm) để giảm trừ. Tuy nhiên, một điều chắc chắn là không có công cụ phần mềm nào là tuyệt hảo.Các dạng chuyển tiếp (chain mail) trong đó người nhận lại chuyển đi nội dung lá thư cho một hay nghiều người khác thường cũng phổ biến trong cả hai hệ thống bưu chính và thư điện tử. Khả năng ảnh hưởng về thông tin của hai loại này là tương đương mặc dù thư điện tử chuyển tiếp có nhiều xác suất gây nhiễm virus máy tính.Hộp thư là nơi cất giữ các thư từ với địa chỉ hẳn hoi. Tương tự, trong hệ thống thư điện tử, thì hộp thư này tương đương với phần dữ liệu chứa nội dung các email cộng vói điạ chỉ của người chủ thư điện tử. Điểm khác biệt ở đây là hộp thư điện tử sẽ có nhiều chức năng hơn là việc xoá bỏ các thư cũ.Mỗi người có thể có một hay nhiều địa chỉ email (và phải được đăng ký qua một hệ thống nào đó). Mỗi hộp thư sẽ có một địa chỉ phân biệt không bao giờ trùng với địa chỉ email khác.Như vậy có thể hoàn toàn không nhầm lẫn khi dùng danh từ hộp thư điện tử hay hòm thư điện tử (email account) để chỉ một phần mềm email đã được đăng kí dùng để nhận và gửi email cho một cá nhân.3.Các giao thứcSMTP (Simple Mail Transfer Protocol) – hay là giao thức chuyển thư đơn giản. Đây là một giao thức lo về việc vận chuyển email giữa các máy chủ trên đường trung chuyển đến địa chỉ nhận cũng như là lo việc chuyển thư điện tử từ máy khách đến máy chủ. Hầu hết các hệ thống thư điện tử gửi thư qua Internet đều dùng giao thức này. Các mẫu thông tin có thể được lấy ra bởi một email client. Những email client này phải dùng giao thức POP hay giao thức IMAP.IMAP (Internet Message Access Protocol) – hay là giao thức truy nhập thông điệp từ Internet. Giao thức này cho phép truy nhập và quản lý các mẫu thông tin về từ các máy chủ. Với giao thức này người dùng email có thể đọc, tạo ra, thay đổi, hay xoá các ngăn chứa, các mẫu tin đồng thời có thể tìm kiếm các nội dung trong hộp thư mà không cần phải tải các thư về.Phiên bản mới nhất của IMAP là IMAP4 tương tự nhưng có nhiều chức năng hơn giao thức POP3. IMAP nguyên thuỷ được phát triển bởi đại học Standford năm 1986.POP (Post Office Protocol) – hay là giao thức phòng thư. Giao thức này được dùng để truy tìm các email từ một MTA(Mail Transfer Agent). Hầu hết các MUA(Mail User Agent) đều dùng đến giao thức POP mặc dù một số MTA cũng có thể dùng giao thức mới hơn là IMAP.Hiện có hai phiên bản của POP. Phiên bản đầu tiên là POP2 đã trở thành tiêu chuẩn vào thập niên 80, nó đòi hỏi phải có giao thức SMTP để gửi đi các mẫu thông tin. Phiên bản mới hơn POP3 có thể được dùng mà không cần tới SMTP. CHƯƠNG 2: TỔNG QUAN VỀ PGP1. PGP là gì ?Mật mã hóa PGP (Pretty Good Privacy Bảo mật rất mạnh) là một phần mềm máy tính dùng để mật mã hóa dữ liệu và xác thực. Phiên bản PGP đầu tiên do Phil Zimmermann được công bố vào năm 1991. Kể từ đó, phần mềm này đã có nhiều cải tiến và hiện nay tập đoàn PGP cung cấp nhiều phần mềm dựa trên nền tảng này. Với mục tiêu ban đầu là phục vụ cho mã hóa thư điện tử, PGP hiện nay đã trở thành một giải pháp mã hóa cho các công ty lớn, chính phủ cũng như các cá nhân. Các phần mềm dựa trên PGP được dùng để mã hóa và bảo vệ thông tin lưu trữ trên máy tính xách tay, máy tính để bàn, máy chủ và trong quá trình trao đổi thông qua email, IM hoặc chuyển file. Giao thức hoạt động của hệ thống này có ảnh hưởng lớn và trở thành một trong hai tiêu chuẩn mã hóa (tiêu chuẩn còn lại là SMIME).2.Ứng dụng của PGPMục tiêu ban đầu của PGP nhằm vào mật mã hóa nội dung các thông điệp thư điện tử và các tệp đính kèm cho người dùng phổ thông. Bắt đầu từ 2002, các sản phẩm PGP đã được đa dạng hóa thành một tập hợp ứng dụng mật mã và có thể được đặt dưới sự quản trị của một máy chủ. Các ứng dụng PGP giờ đây bao gồm: thư điện tử, chữ ký số, mật mã hóa ổ đĩa cứng máy tính xách tay, bảo mật tệp và thư mục, bảo mật các phiên trao đổi IM, mật mã hóa luồng chuyển tệp, bảo vệ các tệp và thư mục lưu trữ trên máy chủ mạng.Phiên bản PGP Desktop 9.x dành cho máy để bàn bao gồm các tính năng: thư điện tử, chữ ký số, bảo mật IM, mật mã hóa ổ đĩa cứng máy tính xách tay, bảo mật tệp và thư mục, tệp nén tự giải mã, xóa file an toàn. Các tính năng riêng biệt được cấp phép theo các cách khác nhau tùy theo yêu cầu.Phiên bản PGP Universal 2.x dành cho máy chủ cho phép triển khai ứng dụng tập trung, thiết lập chính sách an ninh và lập báo cáo. Phần mềm này được dùng để mật mã hóa thư điện tử một cách tự động tại cổng ra vào (gateway) và quản lý các phần mềm máy khách PGP Desktop 9.x. Nó làm việc với máy chủ khóa công khai PGP (gọi là PGP Global Directory) để tìm kiếm khóa của người nhận và có khả năng gửi thư điện tử an toàn ngay cả khi không tìm thấy khóa của người nhận bằng cách sử dụng phiên làm việc HTTPS.Với ứng dụng PGP Desktop 9.0 được quản lý bởi PGP Universal Server 2.0, tất cả các ứng dụng mật mã hóa PGP được dựa trên nền kiến trúc proxy mới. Các phần mềm này giúp loại bỏ việc sử dụng các plugin của thư điện tử và tránh cho người dùng việc sử dụng các ứng dụng khác. Tất cả các hoạt động của máy chủ cũng như máy khách đều tự động tuân theo một chính sách an ninh. PGP Universal server còn tự động hóa các quá trình tạo, quản lý và kết thúc các khóa chia sẻ giữa các ứng dụng PGP.Các phiên bản mới của PGP cho phép sử dụng cả 2 tiêu chuẩn: OpenPGP và SMIME, cho phép trao đổi với bất kỳ ứng dụng nào tuân theo tiêu chuẩn của NIST.3.Hoạt Động của PGPPGP sử dụng kết hợp mật mã hóa khóa công khai và thuật toán khóa đối xứng cộng thêm với hệ thống xác lập mối quan hệ giữa khóa công khai và chỉ danh người dùng (ID). Phiên bản đầu tiên của hệ thống này thường được biết dưới tên mạng lưới tín nhiệm dựa trên các mối quan hệ ngang hàng (khác với hệ thống X.509 với cấu trúc cây dựa vào các nhà cung cấp chứng thực số). Các phiên bản PGP về sau dựa trên các kiến trúc tương tự như hạ tầng khóa công khai.PGP sử dụng thuật toán mật mã hóa khóa bất đối xứng. Trong các hệ thống này, người sử dụng đầu tiên phải có một cặp khóa: khóa công khai và khóa bí mật. Người gửi sử dụng khóa công khai của người nhận để mã hóa một khóa chung (còn gọi là khóa phiên) dùng trong các thuật toán mật mã hóa khóa đối xứng. Khóa phiên này chính là khóa để mật mã hóa các thông tin được gửi qua lại trong phiên giao dịch. Rất nhiều khóa công khai của những người sử dụng PGP được lưu trữ trên các máy chủ khóa PGP trên khắp thế giới (các máy chủ mirror lẫn nhau).Người nhận trong hệ thống PGP sử dụng khóa phiên để giải mã các gói tin. Khóa phiên này cũng được gửi kèm với thông điệp nhưng được mật mã hóa bằng hệ thống mật mã bất đối xứng và có thể tự giải mã với khóa bí mật của người nhận. Hệ thống phải sử dụng cả 2 dạng thuật toán để tận dụng ưu thế của cả hai: thuật toán bất đối xứng đơn giản việc phân phối khóa còn thuật toán đối xứng có ưu thế về tốc độ (nhanh hơn cỡ 1000 lần).Một chiến lược tương tự cũng được dùng (mặc định) để phát hiện xem thông điệp có bị thay đổi hoặc giả mạo người gửi. Để thực hiện 2 mục tiêu trên người gửi phải ký văn bản với thuật toán RSA hoặc DSA. Đầu tiên, PGP tính giá trị hàm băm của văn bản đó rồi tạo ra chữ ký số với khóa bí mật của người gửi và gửi cả văn bản và chữ kí số đến người nhận. Khi nhận được văn bản, người nhận tính lại giá trị băm của văn bản đó đồng thời giải mã chữ ký số bằng khóa công khai của người gửi. Nếu 2 giá trị băm này giống nhau thì có thể khẳng định (với xác suất rất cao) là văn bản chưa bị thay đổi kể từ khi gửi và người gửi đúng là người sở hữu khóa bí mật tương ứng. Mô hình xác thực chữ ký sốTrong quá trình mã hóa cũng như kiểm tra chữ ký, một điều vô cùng quan trọng là khóa công khai được sử dụng thực sự thuộc về người được cho là sở hữu nó. Nếu chỉ đơn giản là tải một khóa công khai từ đâu đó sẽ không thể đảm bảo được điều này. PGP thực hiện việc phân phối khóa thông qua chứng thực số được tạo nên bởi những kỹ thuật mật mã sáo cho việc sửa đổi (không hợp pháp) có thể dễ dàng bị phát hiện. Tuy nhiên chỉ điều này thôi thì chưa đủ vì nó chỉ ngăn chặn được việc sửa đổi sau khi chứng thực đã được tạo ra. Người dùng còn cần phải được trang bị khả năng kiểm tra xem khóa công khai có thực sự thuộc về người được cho là sở hữu hay không. Từ phiên bản đầu tiên, PGP đã có một cơ chế hỗ trợ điều này gọi là mạng lưới tín nhiệm. Mỗi khóa công khai (rộng hơn là các thông tin gắn với một khóa hay một người) đều có thể được một bên thứ 3 xác nhận (theo cách điện tử).Trong các đặc tả gần đây của OpenPGP, các chữ ký tin cậy có thể được sử dụng để tạo ra các nhà cung cấp chứng thực số (CA). Một chữ ký tin cậy có thể chứng tỏ rằng một khóa thực sự thuộc về một người sử dụng và người đó đáng tin cậy để ký xác nhận một khóa của mức thấp hơn. Một chữ ký có mức 0 tương đương với chữ ký trong mô hình mạng lưới tín nhiệm. Chữ ký ở mức 1 tương đương với chữ ký của một CA vì nó có khả năng xác nhận cho một số lượng không hạn chế chữ ký ở mức 0. Chữ ký ở mức 2 tương tự như chữ ký trong danh sách các CA mặc định trong Internet Explorer; nó cho phép người chủ tạo ra các CA khác.PGP cũng được thiết kế với khả năng hủy bỏthu hồi các chứng thực có khả năng đã bị vô hiệu hóa. Về một khía cạnh nào đó, điều này tương đương với danh sách chứng thực bị thu hồi của mô hình hạ tầng khóa công khai. Các phiên bản PGP gần đây cũng hỗ trợ tính năng hạn sử dụng của chứng thực.Vấn đề xác định mối quan hệ giữa khóa công khai và người sở hữu không phải là vấn đề riêng của PGP. Tất cả các hệ thống sử dụng cặp khóa công khai và khóa bí mật đều phải đối phó với vấn đề này và cho đến nay chưa có một giải pháp hoàn thiện nào được tìm ra. Mô hình ban đầu của PGP trao cho quyền quyết định cuối cùng người sử dụng còn các mô hình PKI thì quy định tất cả các chứng thực phải được xác nhận (có thể không trực tiếp) bởi một nhà cung cấp chứng thực trung tâm.4.An ninhKhi được sử dụng đúng cách, PGP được xem là có độ an toàn rất cao. Hiện nay chưa có phương pháp nào được biết tới có khả năng phá vỡ được PGP ở tất cả các phiên bản.Trái với những hệ thống an ninhgiao thức như SSL chỉ nhằm bảo vệ thông tin trên đường truyền, PGP có thể bảo vệ cả dữ liệu cho mục đích lưu trữ lâu dài (hệ thống file).Cũng giống như các hệ thống mật mã và phần mềm khác, an ninh của PGP có thể bị vô hiệu hóa trong trường hợp sử dụng sai hoặc thông qua các dạng tấn công gián tiếp. Trong một trường hợp, FBI đã được tòa án cho phép cài đặt bí mật phần mềm ghi nhận bàn phím (keystroke logging) để thu thập mật khẩu PGP của người bị tình nghi. Sau đó, toàn bộ các tệpemail của người đó bị vô hiệu hóa và là chứng cứ để kết án.Ngoài những vấn đề trên, về khía cạnh mật mã học, an ninh của PGP phụ thuộc vào các giả định về thuật toán mà nó sử dụng trong điều kiện về thiết bị và kỹ thuật đương thời. Chẳng hạn, phiên bản PGP đầu tiên sử dụng thuật toán RSA để mã hóa khóa phiên; an ninh của thuật toán này lại phụ thuộc vào bản chất hàm một chiều của bài toán phân tích ra thừa số nguyên tố. Nếu có kỹ thuật mới giải bài toán này được phát hiện thì an ninh của thuật toán, cũng như PGP sẽ bị phá vỡ. Tương tự như vậy, thuật toán khóa đối xứng trong PGP là IDEA cũng có thể gặp phải những vấn đề về an ninh trong tương lai. Những phiên bản PGP gần đây hỗ trợ thêm những thuật toán khác nữa; vì thế mức độ an toàn trước tấn công về mặt mật mã học cũng thay đổi.Do các tổ chức nghiên cứu lớn về mật mã học (như NSA – National Security Agency, GCHQ – Government Communications Headquarters,...) không công bố những phát hiện mới của mình nên có thể tồn những phương pháp giải mã những thông điệp PGP mà không cần biết đến khóa bí mật được sử dụng. Điều này cũng đúng với bất kỳ hệ thống mật mã nào khác không chỉ là PGP.Hiện nay PGP cho sử dụng một số thuật toán khác nhau để thực hiện việc mã hóa. Vì thế các thông điệp mã hóa với PGP hiện tại không nhất thiết có những điểm yếu giống như PGP phiên bản đầu. Tuy nhiên cũng có một số tin đồn về sự không an toàn của PGP phiên bản đầu tiên (sử dụng các thuật toán RSA và IDEA). Phil Zimmerman, tác giả của PGP, đã từng bị chính phủ Hoa Kỳ điều tra trong vòng 3 năm về việc vi phạm những quy chế trong xuất khẩu phần mềm mật mã. Quá trình điều tra đã được kết thúc một cách đột ngột. Zimmerman cũng từng tuyên bố rằng sở dĩ chính phủ Hoa Kỳ kết thúc điều tra là vì họ đã tìm ra cách phá vỡ PGP trong thời kỳ đó.Từ những lập luận ở trên, có thể khẳng định tương đối chắc chắn rằng tại thời điểm hiện tại chỉ những cơ quan thuộc về chính phủ mới có đủ những nguồn lực cần thiết để có thể phá vỡ những thông điệp PGP. Đối với tấn công phân tích mật mã từ phía cá nhân thì PGP vẫn tương đối an toàn.5.Lịch sử phát triển của PGP1.PGP thời kỳ đầu Phil Zimmermann tạo ra phiên bản PGP đầu tiên vào năm 1991. Vào thời điểm này, ông ta đã là một nhà hoạt động chống năng lượng hạt nhân và mục đích tạo PGP là để phục vụ những người có mục tiêu tương tự có thể sử dụng các hệ thống bảng thông báo điện tử (Bulletin Board) và lưu trữ tệp một cách an toàn. Đối với mục tiêu sử dụng phi thương mại, PGP hoàn toàn miễn phí và toàn bộ mã nguồn được bao gồm trong tất cả sản phẩm. PGP dễ dàng thâm nhập vào Usenet và từ đó vào Internet.Cái tên Pretty Good Privacy (tạm dịch: Bí mật tương đối tốt) được đặt theo tên của một cửa hiệu tạp hóa ở thành phố giả tưởng Lake Wobegon trong chương trình trên radio của tác giả Garrison Keillor. Trong chương trình, tên của hiệu tạp hóa là Ralphs Pretty Good Grocery.Ngay từ khi mới xuất hiện, PGP đã vướng vào chính sách hạn chế xuất khẩu phần mềm mật mã của chính phủ Hoa Kỳ.2.Sự phổ biến của PGP thời kỳ đầuNgay sau khi xuất hiện, PGP đã thu hút được khá nhiều người sử dụng trên Internet. Những người sử dụng và ủng hộ bao gồm những người bất đồng quan điểm tại những nước chuyên chế, những người bảo vệ quyền tự do cá nhân và những người ủng hộ tự do thông tin (cypherpunk).Không lâu sau khi ra đời, PGP đã được sử dụng bên ngoài Hoa Kỳ và vào tháng 2 năm 1993, Zimmermann trở thành mục tiêu của một cuộc điều tra của chính phủ Hoa Kỳ về việc xuất khẩu vũ khí không có giấy phép. Tại thời điểm đó, các hệ thống mật mã với khóa lớn hơn 40bit được xếp hạng cùng với vũ khí trong khi PGP chưa bao giờ sử dụng khóa có độ dài nhỏ hơn 128bit. Mức hình phạt cho tội nói trên khá nặng nhưng cuộc điều tra đã đột ngột dừng lại mà không có một lời kết tội nào.Chính sách hạn chế xuất khẩu mật mã vẫn còn hiệu lực nhưng đã được nới lỏng rất nhiều kể từ thập kỷ 1990. Từ năm 2000 trở đi thì việc tuân thủ các chính sách này không còn là điều khó khăn nữa. PGP không còn được xếp là vũ khí không được phép xuất khẩu và được phép xuất khẩu tới bất kỳ nơi nào nếu không bị cấm tại nơi đó.3.Các phát triển tiếp theo Đội ngũ phát triển của Zimmermann tiếp tục đưa ra phiên bản PGP3. Phiên bản này có nhiều cải thiện về an ninh, trong đó cấu trúc mới của chứng thực đã được sửa vài lỗi nhỏ của phiên bản 2.x cũng như cho phép các khóa khác nhau cho quá trình mã hóa và ký xác nhận. Bên cạnh đó, xuất phát từ bài học về bản quyền và xuất khẩu, PGP3 đã loại bỏ hoàn toàn bản quyền. PGP3 sử dụng thuật toán mật mã khóa đối xứng CAST128 (còn gọi là CAST5) và thuật toán mật mã hóa khóa bất đối xứng DSA và ElGamal. Các thuật toán này đều không bị ràng buộc bởi bản quyền.4.OpenPGP và các phần mềm dựa trên PGPDo tầm ảnh hưởng lớn của PGP trên phạm vi thế giới (được xem là hệ thống mật mã chất lượng cao được sử dụng nhiều nhất), rất nhiều nhà phát triển muốn các phần mềm của họ làm việc được với PGP5. Đội ngũ phát triển PGP đã thuyết phục Zimmermann và đội ngũ lãnh đạo của PGP Inc. rằng một tiêu chuẩn mở cho PGP là điều cực kỳ quan trọng đối với công ty cũng như cộng đồng sử dụng mật mã. Ngay từ năm 1997 đã có một hệ thống tuân thủ theo các tiêu chuẩn của PGP của một công ty Bỉ tên là Veridis (lúc đó có tên là i) với bản quyền PGP2 nhận được từ Zimmermann.Vì vậy vào tháng 7 năm 1997, PGP Inc. đề xuất với IETF về một tiêu chuẩn mở có tên là OpenPGP. PGP Inc. cho phép IETF quyền sử dụng tên OpenPGP cho tiêu chuẩn cũng như các chương trình tuân theo tiêu chuẩn mới này. IETF chấp thuận đề xuất và thành lập nhóm làm việc về OpenPGP.Hiện nay, OpenPGP là một tiêu chuẩn Internet và được quy định tại RFC 2440 (tháng 7 năm 1998). OpenPGP vẫn đang trong giai đoạn phát triển và quy định tiếp theo của RFC 2440 đang được nhóm làm việc tiếp tục hoàn thiện (vào thời điểm tháng 1 năm 2006).Quỹ phát triển phần mềm tự do (Free Software Foundation) cũng phát triển một chương trình tuân theo OpenPGP có tên là GNU Privacy Guard (GnuPG). GnuPG được phân phối miễn phí cùng với mã nguồn theo giấy phép GPL. Ưu điểm của việc sử dụng GnuPG so với PGP (tuy GnuPG chưa có giao diện GUI cho Windows) là nó luôn được cung cấp miễn phí theo giấy phép GPL. Điều này đặc biệt quan trọng nếu người sử dụng muốn giải mã những tài liệu mã hóa tại thời điểm hiện nay trong một tương lai xa. Điều tương tự không đúng với PGP vì không có gì đảm bảo PGP sẽ được cung cấp miễn phí trong tương lai. Trên thực tế, đối với PGP9 thì phí bản quyền đã tăng ít nhất cho những người sử dụng PGP Personal; thêm vào đó, lịch sử phức tạp của bản quyền PGP cũng gây ra nhiều lo lắng.Ngoài ra, nhiều nhà cung cấp khác cũng phát triển các phần mềm dựa trên OpenPGP.Các phiên bản PGP xuất hiện sau khi có tiêu chuẩn vẫn tuân theo hoặc hỗ trợ OpenPGP. CHƯƠNG 3: DEMO MÃ HÓA EMAIL BẰNG OPEN PGPPhần mềm sử dụng: VM Ware Workstation 12oWindows XP ProfessionaloWindows Server 2012Mozilla Thunder Bird 31.5.0MDeamon V10GPG4Win 2.3.3Thực nghiệm: •Bước 1: Cài đặt các phần mềm trên win server và win xp Hình 3.1: Phần mềm Mdaemon trên máy Windows Server 2012 Hình 3.2: Phần mềm Thunder Bird trên máy Windows Server 2012 Hình 3.3: Phần mềm Thunder Bird trên máy Windows XP •Bước 2: Tạo các tài khoản mail bằng phần mềm MDaemon trên máy Windows Server 2012 Hình 3.4: Tạo tài khoản email cho user 1. Hình 3.5: Tạo tài khoản email cho user 2.•Bước 3: Cài đặt Addon “Enigmail” để mã hóa và tạo chữ ký số trên email.Trên thanh Menu Bar chọn Tool => AddonNhập vào phần Search: “Enigmail” Hình 3.6: Addon trong Thunder BirdSau khi cài đặt Enigmail, trên thanh Menu Bar sẽ xuất hiện thêm một phần là Enigmail. Khởi động lại chương trình Thunder Bird để sử dụng.  •Bước 4: Gửi, nhận và thêm các khóa công khai của 2 email. Hình 3.7: Gửi một thư đính kèm Khóa Công Khai (thực hiện trên cả 2 máy)Sau khi nhận được email đính kèm khóa công khai, chúng ta tải file đính kèm về, sau đó thêm khóa của người còn lại vào Enigmail bằng cách: Menu Bar => Enigmail => Key Management. Hình 3.8: Cửa sổ Key Management để thêm khóa công khai của user khác.Tiếp tục chọn File => Import Key From File. Chúng ta tìm đến nơi lưu file khóa công khai được đính kèm trong thư đã nhận từ trước.Sau khi đã thêm khóa công khai của user khác, chúng ta click chuột phải vào khóa đó, chọn Set Owner Trust để thêm độ tin cậy cho khóa.  •Bước 5: Gửi và nhận email đã mã hóa và có chữ ký số. Hình 3.9: Cửa sổ tạo thư mới sau khi được cài Enigmail. Hình 3.10: Thư đã được mã hóa và phải dùng Passphare đã được cài từ trước để giải mã.

BÁO CÁO BÀI TẬP LỚN

ĐỀ TÀI: BẢO MẬT EMAIL VỚI PGP

HOC VIỆN KỸ THUẬT MẬT MÃ KHOA AN TOÀN THÔNG TIN

Hà Nội, Thứ 2, ngày 13 tháng 3 năm 2017

Giảng viên hướng dẫn:

Sinh viên thực hiện:

MỤC LỤC

CHƯƠNG 1: EMAIL

1. Khái niệm

Thư điện tử, hay email (từ chữ Electronic Mail), là một hệ thống chuyển

nhận thư từ qua các mạng máy tính

Email là một phương tiện thông tin rất nhanh Một mẫu thông tin (thư từ) có

thể được gửi đi ở dạng mã hoá hay dạng thông thường và được chuyển qua các

mạng máy tính đặc biệt là mạng Internet Nó có thể chuyển mẫu thông tin từ một

máy nguồn tới một hay rất nhiều máy nhận trong cùng lúc

Ngày nay, email chẳng những có thể truyền gửi được chữ, nó còn có thể

truyền được các dạng thông tin khác như hình ảnh, âm thanh, phim, và đặc biệt các

phần mềm thư điện tử kiểu mới còn có thể hiển thị các email dạng sống động tương

thích với kiểu tệp HTML.

2. Lợi ích của thư điện tử

Thay vì viết thư bằng giấy mực và bút thì người gửi chỉ cần gõ chữ từ bàn

phím của máy tính và biết dùng một phần mềm thư điện tử (email program).

Lá thư được gửi trên hệ thống bưu chính là vật liệu không cần máy nhận hay máy gửi Trong khi đó, nếu gửi thư điện tử, chỉ có các tín hiệu điện mã hoá nội dung bức thư điện tử được truyền đi đến máy nhận Do đó, chỉ có nội dung hay cách trình bày lá thư điện tử là được bảo toàn Trong khi đó, dùng đường bưu điện người ta có thể gửi đi các vật liệu hàm chứa thêm nội dung hay ý nghĩa khác Điều này có thể rất quan trọng đối với nhiều người

Vận tốc truyền thư điện tử chỉ vài giây đến vài phút và chi phí rất nhỏ không đáng kể so với gửi qua đường bưu điện

Dùng thư điện tử thì bất kỳ lúc nào cũng có thể mở phần mềm thư điện tử ra đọc nên tiện lợi hơn là việc phải bỏ thư ở các thùng thư Đồng thời, vì mỗi người dùng thư đều phải nhập mật khẩu vào máy nên thư điện tử sẽ khó bị người ở chung đọc lén so với thư gửi bưu điện Nhưng ngược lại, các tay tin tặc xa lạ có thể xâm nhập vào hệ thống thư điện tử của cá nhân nếu như các mật mã hay các hệ thống an toàn phần mềm bị bẻ gãy

Khối lượng gửi và nhận thư điện tử có thể nhiều hơn thư bưu điện rất nhiều

lần Đối với các dịch vụ thư điện tử mới thì dung lượng có thể lên đến hàng Gbyte

như dịch vụ của Gmail chẳng hạn, hay nhiều hơn Số thư có thể dự trữ trong dung lượng này tương đương với vài bộ tự điển bách khoa

Các trường hợp thư phá hoại trên hệ thống bưu điện (như là thư có bột antrax, thư bom, ) rất hiếm có nhưng có thể gây thương vong Ngược lại, hệ thống thư điện tử, không thể gây thương tích mà thường rất phải đương đầu với

nhiều vấn nạn như virus máy tính, các thư nhũng lạm (spam mail), các thư quảng cáo (advertisement mail) và các thư khiêu dụ tình dục (pornography mail), đặc biệt là cho trẻ em, thì lại rất nhiều Đối với các loại thư độc hại (malicious mail)

này người dùng cần phải cài đặt thêm các tiện ích hay chức năng lọc (sẵn có trong phần mềm hay phải mua thêm) để giảm trừ Tuy nhiên, một điều chắc chắn là không có công cụ phần mềm nào là tuyệt hảo

Các dạng chuyển tiếp (chain mail) trong đó người nhận lại chuyển đi nội

dung lá thư cho một hay nghiều người khác thường cũng phổ biến trong cả hai hệ thống bưu chính và thư điện tử Khả năng ảnh hưởng về thông tin của hai loại này

là tương đương mặc dù thư điện tử chuyển tiếp có nhiều xác suất gây nhiễm virus

máy tính

Hộp thư là nơi cất giữ các thư từ với địa chỉ hẳn hoi Tương tự, trong hệ thống thư điện tử, thì hộp thư này tương đương với phần dữ liệu chứa nội dung các

email cộng vói điạ chỉ của người chủ thư điện tử Điểm khác biệt ở đây là hộp thư

điện tử sẽ có nhiều chức năng hơn là việc xoá bỏ các thư cũ

Mỗi người có thể có một hay nhiều địa chỉ email (và phải được đăng ký qua một hệ thống nào đó) Mỗi hộp thư sẽ có một địa chỉ phân biệt không bao giờ trùng

với địa chỉ email khác.

Như vậy có thể hoàn toàn không nhầm lẫn khi dùng danh từ hộp thư điện tử

hay hòm thư điện tử (email account) để chỉ một phần mềm email đã được đăng kí

dùng để nhận và gửi email cho một cá nhân.

3. Các giao thức

SMTP (Simple Mail Transfer Protocol) – hay là giao thức chuyển thư đơn

giản Đây là một giao thức lo về việc vận chuyển email giữa các máy chủ trên đường trung chuyển đến địa chỉ nhận cũng như là lo việc chuyển thư điện tử từ máy

khách đến máy chủ Hầu hết các hệ thống thư điện tử gửi thư qua Internet đều

dùng giao thức này Các mẫu thông tin có thể được lấy ra bởi một email client Những email client này phải dùng giao thức POP hay giao thức IMAP.

IMAP (Internet Message Access Protocol) – hay là giao thức truy nhập

thông điệp từ Internet Giao thức này cho phép truy nhập và quản lý các mẫu thông

tin về từ các máy chủ Với giao thức này người dùng email có thể đọc, tạo ra, thay

đổi, hay xoá các ngăn chứa, các mẫu tin đồng thời có thể tìm kiếm các nội dung trong hộp thư mà không cần phải tải các thư về

Phiên bản mới nhất của IMAP là IMAP4 tương tự nhưng có nhiều chức năng hơn giao thức POP3 IMAP nguyên thuỷ được phát triển bởi đại học

Standford năm 1986.

POP (Post Office Protocol) – hay là giao thức phòng thư Giao thức này

được dùng để truy tìm các email từ một MTA(Mail Transfer Agent) Hầu hết các

MUA(Mail User Agent) đều dùng đến giao thức POP mặc dù một số MTA cũng

có thể dùng giao thức mới hơn là IMAP.

Hiện có hai phiên bản của POP Phiên bản đầu tiên là POP2 đã trở thành tiêu chuẩn vào thập niên 80, nó đòi hỏi phải có giao thức SMTP để gửi đi các mẫu thông tin Phiên bản mới hơn POP3 có thể được dùng mà không cần tới SMTP.

CHƯƠNG 2: TỔNG QUAN VỀ PGP

1. PGP là gì ?

Mật mã hóa PGP (Pretty Good Privacy - Bảo mật rất mạnh) là một phần

mềm máy tính dùng để mật mã hóa dữ liệu và xác thực Phiên bản PGP đầu tiên do

Phil Zimmermann được công bố vào năm 1991 Kể từ đó, phần mềm này đã có

nhiều cải tiến và hiện nay tập đoàn PGP cung cấp nhiều phần mềm dựa trên nền tảng này Với mục tiêu ban đầu là phục vụ cho mã hóa thư điện tử, PGP hiện nay

đã trở thành một giải pháp mã hóa cho các công ty lớn, chính phủ cũng như các cá

nhân Các phần mềm dựa trên PGP được dùng để mã hóa và bảo vệ thông tin lưu

trữ trên máy tính xách tay, máy tính để bàn, máy chủ và trong quá trình trao đổi thông qua email, IM hoặc chuyển file Giao thức hoạt động của hệ thống này có ảnh hưởng lớn và trở thành một trong hai tiêu chuẩn mã hóa (tiêu chuẩn còn lại là

S/MIME).

2. Ứng dụng của PGP

Mục tiêu ban đầu của PGP nhằm vào mật mã hóa nội dung các thông điệp

thư điện tử và các tệp đính kèm cho người dùng phổ thông Bắt đầu từ 2002, các

sản phẩm PGP đã được đa dạng hóa thành một tập hợp ứng dụng mật mã và có thể được đặt dưới sự quản trị của một máy chủ Các ứng dụng PGP giờ đây bao gồm:

thư điện tử, chữ ký số, mật mã hóa ổ đĩa cứng máy tính xách tay, bảo mật tệp và thư mục, bảo mật các phiên trao đổi IM, mật mã hóa luồng chuyển tệp, bảo vệ các tệp và thư mục lưu trữ trên máy chủ mạng

Phiên bản PGP Desktop 9.x dành cho máy để bàn bao gồm các tính năng:

thư điện tử, chữ ký số, bảo mật IM, mật mã hóa ổ đĩa cứng máy tính xách tay, bảo mật tệp và thư mục, tệp nén tự giải mã, xóa file an toàn Các tính năng riêng biệt được cấp phép theo các cách khác nhau tùy theo yêu cầu

Phiên bản PGP Universal 2.x dành cho máy chủ cho phép triển khai ứng

dụng tập trung, thiết lập chính sách an ninh và lập báo cáo Phần mềm này được

dùng để mật mã hóa thư điện tử một cách tự động tại cổng ra vào (gateway) và

quản lý các phần mềm máy khách PGP Desktop 9.x Nó làm việc với máy chủ

khóa công khai PGP (gọi là PGP Global Directory) để tìm kiếm khóa của người

nhận và có khả năng gửi thư điện tử an toàn ngay cả khi không tìm thấy khóa của

người nhận bằng cách sử dụng phiên làm việc HTTPS.

Với ứng dụng PGP Desktop 9.0 được quản lý bởi PGP Universal Server

2.0, tất cả các ứng dụng mật mã hóa PGP được dựa trên nền kiến trúc proxy mới.

Các phần mềm này giúp loại bỏ việc sử dụng các plug-in của thư điện tử và tránh cho người dùng việc sử dụng các ứng dụng khác Tất cả các hoạt động của máy chủ cũng như máy khách đều tự động tuân theo một chính sách an ninh PGP Universal server còn tự động hóa các quá trình tạo, quản lý và kết thúc các khóa chia sẻ giữa

các ứng dụng PGP.

Các phiên bản mới của PGP cho phép sử dụng cả 2 tiêu chuẩn: OpenPGP và

S/MIME, cho phép trao đổi với bất kỳ ứng dụng nào tuân theo tiêu chuẩn của

NIST.

3. Hoạt Động của PGP

PGP sử dụng kết hợp mật mã hóa khóa công khai và thuật toán khóa đối xứng cộng thêm với hệ thống xác lập mối quan hệ giữa khóa công khai và chỉ danh

người dùng (ID) Phiên bản đầu tiên của hệ thống này thường được biết dưới tên

mạng lưới tín nhiệm dựa trên các mối quan hệ ngang hàng (khác với hệ thống X.509 với cấu trúc cây dựa vào các nhà cung cấp chứng thực số) Các phiên bản

PGP về sau dựa trên các kiến trúc tương tự như hạ tầng khóa công khai.

PGP sử dụng thuật toán mật mã hóa khóa bất đối xứng Trong các hệ thống

này, người sử dụng đầu tiên phải có một cặp khóa: khóa công khai và khóa bí mật Người gửi sử dụng khóa công khai của người nhận để mã hóa một khóa chung (còn gọi là khóa phiên) dùng trong các thuật toán mật mã hóa khóa đối xứng Khóa phiên này chính là khóa để mật mã hóa các thông tin được gửi qua lại trong phiên

giao dịch Rất nhiều khóa công khai của những người sử dụng PGP được lưu trữ trên các máy chủ khóa PGP trên khắp thế giới (các máy chủ mirror lẫn nhau).

Người nhận trong hệ thống PGP sử dụng khóa phiên để giải mã các gói tin.

Khóa phiên này cũng được gửi kèm với thông điệp nhưng được mật mã hóa bằng

hệ thống mật mã bất đối xứng và có thể tự giải mã với khóa bí mật của người nhận

Hệ thống phải sử dụng cả 2 dạng thuật toán để tận dụng ưu thế của cả hai: thuật toán bất đối xứng đơn giản việc phân phối khóa còn thuật toán đối xứng có ưu thế

về tốc độ (nhanh hơn cỡ 1000 lần)

Một chiến lược tương tự cũng được dùng (mặc định) để phát hiện xem thông điệp có bị thay đổi hoặc giả mạo người gửi Để thực hiện 2 mục tiêu trên người gửi phải ký văn bản với thuật toán RSA hoặc DSA Đầu tiên, PGP tính giá trị hàm băm của văn bản đó rồi tạo ra chữ ký số với khóa bí mật của người gửi và gửi cả văn bản và chữ kí số đến người nhận Khi nhận được văn bản, người nhận tính lại giá trị băm của văn bản đó đồng thời giải mã chữ ký số bằng khóa công khai của người gửi Nếu 2 giá trị băm này giống nhau thì có thể khẳng định (với xác suất rất cao) là văn bản chưa bị thay đổi kể từ khi gửi và người gửi đúng là người sở hữu khóa bí mật tương ứng

Mô hình xác thực chữ ký số

Trong quá trình mã hóa cũng như kiểm tra chữ ký, một điều vô cùng quan trọng là khóa công khai được sử dụng thực sự thuộc về người được cho là sở hữu

nó Nếu chỉ đơn giản là tải một khóa công khai từ đâu đó sẽ không thể đảm bảo

được điều này PGP thực hiện việc phân phối khóa thông qua chứng thực số được

tạo nên bởi những kỹ thuật mật mã sáo cho việc sửa đổi (không hợp pháp) có thể dễ dàng bị phát hiện Tuy nhiên chỉ điều này thôi thì chưa đủ vì nó chỉ ngăn chặn được việc sửa đổi sau khi chứng thực đã được tạo ra Người dùng còn cần phải được trang bị khả năng kiểm tra xem khóa công khai có thực sự thuộc về người được cho

là sở hữu hay không Từ phiên bản đầu tiên, PGP đã có một cơ chế hỗ trợ điều này gọi là mạng lưới tín nhiệm Mỗi khóa công khai (rộng hơn là các thông tin gắn với một khóa hay một người) đều có thể được một bên thứ 3 xác nhận (theo cách điện tử)

Trong các đặc tả gần đây của OpenPGP, các chữ ký tin cậy có thể được sử

dụng để tạo ra các nhà cung cấp chứng thực số (CA) Một chữ ký tin cậy có thể

chứng tỏ rằng một khóa thực sự thuộc về một người sử dụng và người đó đáng tin

cậy để ký xác nhận một khóa của mức thấp hơn Một chữ ký có mức 0 tương đương với chữ ký trong mô hình mạng lưới tín nhiệm Chữ ký ở mức 1 tương đương với chữ ký của một CA vì nó có khả năng xác nhận cho một số lượng không hạn chế chữ ký ở mức 0 Chữ ký ở mức 2 tương tự như chữ ký trong danh sách các

CA mặc định trong Internet Explorer; nó cho phép người chủ tạo ra các CA khác.

PGP cũng được thiết kế với khả năng hủy bỏ/thu hồi các chứng thực có khả

năng đã bị vô hiệu hóa Về một khía cạnh nào đó, điều này tương đương với danh sách chứng thực bị thu hồi của mô hình hạ tầng khóa công khai Các phiên bản PGP gần đây cũng hỗ trợ tính năng hạn sử dụng của chứng thực

Vấn đề xác định mối quan hệ giữa khóa công khai và người sở hữu không

phải là vấn đề riêng của PGP Tất cả các hệ thống sử dụng cặp khóa công khai và

khóa bí mật đều phải đối phó với vấn đề này và cho đến nay chưa có một giải pháp

hoàn thiện nào được tìm ra Mô hình ban đầu của PGP trao cho quyền quyết định

cuối cùng người sử dụng còn các mô hình PKI thì quy định tất cả các chứng thực

phải được xác nhận (có thể không trực tiếp) bởi một nhà cung cấp chứng thực trung tâm

4. An ninh

Khi được sử dụng đúng cách, PGP được xem là có độ an toàn rất cao Hiện nay chưa có phương pháp nào được biết tới có khả năng phá vỡ được PGP ở tất cả các

phiên bản

Trái với những hệ thống an ninh/giao thức như SSL chỉ nhằm bảo vệ thông tin trên

đường truyền, PGP có thể bảo vệ cả dữ liệu cho mục đích lưu trữ lâu dài (hệ thống

file)

Cũng giống như các hệ thống mật mã và phần mềm khác, an ninh của PGP có thể

bị vô hiệu hóa trong trường hợp sử dụng sai hoặc thông qua các dạng tấn công gián

tiếp Trong một trường hợp, FBI đã được tòa án cho phép cài đặt bí mật phần mềm

ghi nhận bàn phím (keystroke logging) để thu thập mật khẩu PGP của người bị

tình nghi Sau đó, toàn bộ các tệp/email của người đó bị vô hiệu hóa và là chứng cứ

để kết án

Ngoài những vấn đề trên, về khía cạnh mật mã học, an ninh của PGP phụ thuộc

vào các giả định về thuật toán mà nó sử dụng trong điều kiện về thiết bị và kỹ thuật

đương thời Chẳng hạn, phiên bản PGP đầu tiên sử dụng thuật toán RSA để mã hóa

khóa phiên; an ninh của thuật toán này lại phụ thuộc vào bản chất hàm một chiều của bài toán phân tích ra thừa số nguyên tố Nếu có kỹ thuật mới giải bài toán

này được phát hiện thì an ninh của thuật toán, cũng như PGP sẽ bị phá vỡ Tương

tự như vậy, thuật toán khóa đối xứng trong PGP là IDEA cũng có thể gặp phải những vấn đề về an ninh trong tương lai Những phiên bản PGP gần đây hỗ trợ

thêm những thuật toán khác nữa; vì thế mức độ an toàn trước tấn công về mặt mật

mã học cũng thay đổi

Do các tổ chức nghiên cứu lớn về mật mã học (như NSA – National Security Agency , GCHQ – Government Communications Headquarters , ) không công bố

những phát hiện mới của mình nên có thể tồn những phương pháp giải mã những

thông điệp PGP mà không cần biết đến khóa bí mật được sử dụng Điều này cũng đúng với bất kỳ hệ thống mật mã nào khác không chỉ là PGP.

Hiện nay PGP cho sử dụng một số thuật toán khác nhau để thực hiện việc mã hóa.

Vì thế các thông điệp mã hóa với PGP hiện tại không nhất thiết có những điểm yếu giống như PGP phiên bản đầu Tuy nhiên cũng có một số tin đồn về sự không an

toàn của PGP phiên bản đầu tiên (sử dụng các thuật toán RSA và IDEA) Phil

Zimmerman, tác giả của PGP, đã từng bị chính phủ Hoa Kỳ điều tra trong vòng 3

năm về việc vi phạm những quy chế trong xuất khẩu phần mềm mật mã Quá trình

điều tra đã được kết thúc một cách đột ngột Zimmerman cũng từng tuyên bố rằng

sở dĩ chính phủ Hoa Kỳ kết thúc điều tra là vì họ đã tìm ra cách phá vỡ PGP trong

thời kỳ đó

Từ những lập luận ở trên, có thể khẳng định tương đối chắc chắn rằng tại thời điểm hiện tại chỉ những cơ quan thuộc về chính phủ mới có đủ những nguồn lực cần thiết

để có thể phá vỡ những thông điệp PGP Đối với tấn công phân tích mật mã từ phía

cá nhân thì PGP vẫn tương đối an toàn.

5. Lịch sử phát triển của PGP

1. PGP thời kỳ đầu

Phil Zimmermann tạo ra phiên bản PGP đầu tiên vào năm 1991 Vào thời điểm

này, ông ta đã là một nhà hoạt động chống năng lượng hạt nhân và mục đích tạo

PGP là để phục vụ những người có mục tiêu tương tự có thể sử dụng các hệ thống

bảng thông báo điện tử (Bulletin Board) và lưu trữ tệp một cách an toàn Đối với

mục tiêu sử dụng phi thương mại, PGP hoàn toàn miễn phí và toàn bộ mã nguồn

được bao gồm trong tất cả sản phẩm PGP dễ dàng thâm nhập vào Usenet và từ đó vào Internet.

Cái tên "Pretty Good Privacy" (tạm dịch: Bí mật tương đối tốt) được đặt theo tên

của một cửa hiệu tạp hóa ở thành phố giả tưởng Lake Wobegon trong chương trình trên radio của tác giả Garrison Keillor Trong chương trình, tên của hiệu tạp hóa là

"Ralph's Pretty Good Grocery".

Ngay từ khi mới xuất hiện, PGP đã vướng vào chính sách hạn chế xuất khẩu phần

mềm mật mã của chính phủ Hoa Kỳ

2. Sự phổ biến của PGP thời kỳ đầu

Ngay sau khi xuất hiện, PGP đã thu hút được khá nhiều người sử dụng trên Internet Những người sử dụng và ủng hộ bao gồm những người bất đồng quan điểm tại những nước chuyên chế, những người bảo vệ quyền tự do cá nhân và

những người ủng hộ tự do thông tin (cypherpunk).

Không lâu sau khi ra đời, PGP đã được sử dụng bên ngoài Hoa Kỳ và vào tháng 2

năm 1993, Zimmermann trở thành mục tiêu của một cuộc điều tra của chính phủ

Hoa Kỳ về việc xuất khẩu "vũ khí" không có giấy phép Tại thời điểm đó, các hệ thống mật mã với khóa lớn hơn 40bit được xếp hạng cùng với vũ khí trong khi