Tecnologia

Como criptografar seus emails e manter suas conversas confidenciais

Entre constantes brechas de senhas e a NSA observando tudo o que você faz, é provável que a sua privacidade seja uma das suas preocupações atualmente. Se você quer um pouco de privacidade nas suas comunicações com amigos e parentes, ou apenas quer confirmar que os documentos enviados por email para clientes não sejam interceptados […]

Por Alan Henry18 de agosto de 2013 às 13:1214 minutos de leitura

Por que eu devo criptografar meu email?

A espionagem atual do governo não é a primeira distração de segurança que ganha espaço nos noticiários. Antes de ficarmos bravos com a NSA (e não, é improvável que a criptografia PGP vai proteger seus emails da NSA, apesar de existirem exemplos de agentes de lei incapazes de quebrar a criptografia PGP, e então forçando você a descriptografar para eles), nós estávamos bravos com a espionagem corporativa, empregadores lendo emails pessoais, ladrões de identidades e hackers. Criptografar seu email pode ou não protegê-lo do governo ou de alguém com tempo de sobra e os recursos disponíveis, mas definitivamente pode manter seus dados seguros de pessoas que querem invadir sua conta, mudar sua senha e então agir como se fosse você, roubar dados financeiros e buscar nos seus contatos informações úteis sobre a sua vida para ataques de phishing.

Neste post, ensinaremos a criptografar seus emails usando clientes de desktop como o Thunderbird e o Postbox, e como fazer para criptografar quase todos os provedores de webmail por aí (Gmail, Outlook, Google Apps, Yahoo, etc). Tudo o que você precisará são alguns downloads e um tempo para configurar. Claro, você também precisa de amigos que usem PGP, já que vai trocar chaves públicas com eles para garantir que eles consigam ler suas mensagens.

Já explicamos várias vezes que a sua privacidade é importante, e mesmo que você não se preocupe com espionagem governamental (que não precisa nem de ordem judicial) ou rastreamento corporativo (que você aceitou ao se inscrever em um serviço gratuito de email), existem vários motivos para você garantir sua segurança e criptografar algumas das suas comunicações sensíveis.

Nós podemos ouvi-lo agora. Você se pergunta porque se importar com isso. “Privacidade acabou!” “Eles vão coletar todos os dados de qualquer jeito.” “Usar coisas assim faz você se tornar um alvo.” Por mais que agências governamentais e empresas querendo vender propaganda para você sejam as primeiras coisas que aparecem na cabeça quando você pensa em privacidade, elas não são as únicas partes interessadas nos seus dados pessoais. As ameaças mundanas são as que podem arruinar o seu dia.

Extratos bancários, contratos, acordos confidenciais ou formulários de não-divulgação, ofertas de emprego, relatórios financeiros, históricos médicos, resultados de testes de laboratórios; essas são apenas algumas das informações que você deve – e em muitos casos é legalmente exigido – manter confidenciais. Além disso, o argumento de que usar ferramentas de segurança de alguma forma convida a vigilância é uma forma de incentivar pessoas a não fazer nada usando o medo. Não é o governo ou uma grande empresa de tecnologia que vai tomar vantagem desse medo, é o ladrão de identidade comum, alguém procurando algo que possa usar ou vender, ou alguém verificando pacotes de Wi-Fis públicos apenas por curiosidade.

Para começar: como criptografia PGP funciona, e do que você vai precisar

Criptografar seu email pode parecer assustador, mas na verdade é bem simples. Vamos usar algo chamado PGP (Preety Good Privacy, um nome que é um tributo a um programa de rádio da NPR, A Prairie Home Companion) para criptografar suas mensagens. Ele vai fazer seus emails parecerem um texto ilegível para quem vê de gora, como aquele sujeito fuçando na rede Wi-Fi da cafeteria. Ele também esconde números de cartão de crédito, endereços, fotos e o que mais você escolher para manter confidencial.

Então como o PGP funciona? É simples, e já descrevemos em um post antigo:

Sam quer enviar um email secreto de amor para Jane e não quer que Joe, o vizinho ciumento de Jane que fuça no seu Wi-Fi, veja. Jane usa PGP, o que significa que ela tem uma chave PÚBLICA (o que é basicamente um monte de número e letras) que ela publicou em seu site para qualquer pessoa que quer enviar um email criptografado para ela. Jane também tem uma chave PRIVADA, que ninguém mais – incluindo o ciumento Joe – tem acesso.

Então Sam procura a chave pública de Jane. Ele escreve sua ardente confissão de amor, criptografa com aquela chave pública, e envia para Jane. Ao enviar, cópias da mensagem foram criadas no servidor de Jane e de Sam – mas a mensagem parece um monte de coisa sem sentido. Joe, o ciumento, entra no email de Jane em busca de qualquer dica de que há alguma chance entre eles, mas não encontra nada. Ele não pode ler a mensagem de Sam.

No entanto, quando Jane recebe a mensagem no Thunderbird, a chave privada dela desembaralha a mensagem. Assim, ela pode ler toda a confissão do amor de Sam sem que ninguém mais saiba de nada.

Pronto para começar? Eis do que você precisará:

GNU Privacy Guard (GnuPG), na forma de GPGTools (OS X) ou Gpg4win (Windows)
Thunderbird (Win/OS X/Linux) ou Postbox (Win/OS X) para email no desktop
Enigmail, um add-on OpenPGP para o Thunderbird e Postbox. Você pode baixar o add-on do Thunderbird aqui, e o do Postbox aqui.
Mailvelope para Chrome ou Firefox, e uma conta de email como Gmail, Outlook, Yahoo, ou GMX.

Como dissemos, seus amigos também precisam usar o PGP, e você vai precisar trocar as chaves com eles para garantir que possam ler suas mensagens. Muitas pessoas publicam as chaves públicas em sites pessoais, ou apenas enviam em anexo para todo mundo da lista de contatos. Esta é a parte mais complicada de usar criptografia PGP para proteger seu email. Ela é boa, contanto que muitas pessoas usem, e é por isso que pode ser uma boa ideia você ativar mesmo que não pretenda usar – algum dia alguém pode querer enviar algo criptografado para você.

Primeiro passo: Instale o GnuPG e o Enigmail para gerar suas chaves

A primeira coisa a ser feita é instalar o GNU Privacy Guard (GnuPG, ou GPG), para gerar suas chaves públicas e privadas. Lembre-se: a chave pública é a que você distribui para outras pessoas lerem suas mensagens. A privada é a que você precisa ter sempre com você, de preferência dentro do seu bolso.

1. Baixe o GPG para seu sistema operacional e instale na sua máquina. No Mac, o GPGTools vai abrir assim que a instalação acabar. Feche o software – é mais fácil gerar as chaves de dentro do Thunderbird ou Postbox.
2. Assim que o GPG estiver instalado, é hora de colocar a extensão Enigmail no seu cliente de email. Baixe aqui para Thunderbird ou para o Postbox. Você precisa salvar os arquivos no seu desktop e carregá-los até o Thunderbird ou Postbox para instalar.
3. Com isso instalado, reabra o seu software de email. Você deve encontrar um novo menu “OpenPGP” próximo a File, Edit, View e o resto. Clique neste menu e selecione “Gerenciamento de chave” (Key Management em inglês)
4. Uma janela aparecerá. Clique no menu “Generate” e selecione “New Keypair”
5. Outra janela aparecerá. Selecione o endereço de email para o qual você quer gerar a chave. Digite uma senha para ela – será o password necessário para criptografar ou descriptografar suas mensagens.
6. Clique em “Generate Key”. Pode demorar alguns minutos, mas para ajudar na operação, balance o mouse um pouco, ou mantenha a janela aberta enquanto faz outras coisas. Nas vezes que tentei, foi questão de segundos.
7. Pode ser que apareça uma opção para criar um certificado de revogação no final do processo. Se aparecer, faça isso. Essa chave pode ser usada para invalidar sua chave pública caso alguém consiga a sua chave privada, ou se ela for comprometida. Guarde-o em um lugar seguro.

Com as chaves criadas, exporte-as para manter em segurança (e vamos precisar delas novamente mais para frente). Eis como fazer isso:

1. No Thunderbird ou Postbox, clique no menu OpenPGP e selecione “Key Management”
2. Clique com o botão direito nas chaves que você quer guardar e escolha “Export Keys to File.”
3. Você receberá um alerta perguntando se quer incluir sua chave secreta no arquivo. Clique em “Exporte Secret Keys” para incluir ela também.
4. Escolha um lugar seguro e clique em Save.

Este arquivo de texto vai incluir sua chave pública e a privada, então você precisa manter tudo guardado até o fim do processo. Quando terminarmos, você pode colocar em um lugar seguro, preferencialmente em um lugar onde seus arquivos são criptografados e você faz backup regularmente. Como alternativa, você pode simplesmente apagar o arquivo. Você sempre pode exportar novamente as chaves se precisar.

Se você usa mais de um endereço de email, você não precisa gerar chaves separadas para cada conta. Você pode, claro, mas as chaves não são vinculadas à sua conta de email nem ao provedor. As mesmas chaves podem ser usadas para endereços múltiplos, se você quiser simplificar as coisas.

Passo 2: Configure o Thunderbird e o Postbox para criptografar suas mensagens

Agora que você gerou e configurou as chaves, está na hora de colocá-las em ação. Abra uma nova mensagem no Postbox ou Thunderbird e clique no menu “Open PGP”. Você verá opções “Sign Message” e “Encrypt Message”. Você pode escolher qualquer um, mas o melhor é usar ambos. No Thunderbird, você pode escolher assinatura e criptografia usando os ícones de caneta e chave no canto inferior direito da janela de composição de mensagens.

Escreva seu email normalmente e clique em “enviar”. Quando fizer isso, sua senha será pedida. Digite, e então seu email se tornará ilegível. O destinatário (ou destinatários) vão precisar da sua chave pública para descriptografar o texto.

Se você enviar algum anexo, assim que colocá-lo na mensagem verá um alerta perguntando se quer criptografar apenas o texto e não o anexo (nunca faça isso), criptografar e assinar cada anexo separadamente e enviar usando PGP (este é o método mais usado), ou criptografar e assinar toda a mensagem (incluindo anexos) e enviar usando PGP/MIME. Sugerimos a segunda opção, considerando que poucos clientes de email têm suporte a PGP/MIME. É mais fácil para você, ainda dá a segurança que você quer, e facilita a vida de quem vai receber o seu email.

E isso é tudo. Se quiser usar as mesmas chaves para outro endereço de email no Postbox ou Thunderbird, clique na caixa de entrada para o endereço que você quer configurar, abra uma nova mensagem, e clique no menu OpenPGP. Você receberá um alerta de que não configurou o OpenPGP para aquela conta. Clique em configurar, e então “Enable OpenPGP support for this identity.” A partir daqui, você pode criar uma chave nova ou reaproveitar uma que já foi criada.

Passo 3: Configure o Mailvelope para o seu webmail

Clientes de email para desktop são ótimos, e achamos que existem muitos motivos para usá-los, mas não é segredo nenhum que muitas pessoas usam webmail no lugar deles. Provedores gratuitos de email como Gmail, Outlook e o Yahoo! Mail são simples e fáceis de usar, e dão acesso às suas mensagens em qualquer lugar que você esteja. Essa conveniência vem com um ponto negativo, que é a segurança, mas o Mailvelope ajuda um pouco nisso.

O Mailvelope está disponível como um add-on para o Firefox e o Chrome, e você pode baixar na Chrome Web Store por aqui, ou para o Firefox aqui. A versão para o navegador da Mozilla é experimental e um pouco mais complicada de instalar (as instruções estão no Hithub e você precisa saber o que fazer lá dentro para encontrar), mas ele funciona bem, depois de instalado. Se você usa outro navegador, como o Opera, este hack vai fazer ele funcionar também no Opera.

Com a extensão instalado, eis o que você precisa fazer:

1. Abra a página de extensões do seu navegador e clique para abrir as opções do Mailvelope.
2. Tudo aqui deve estar branco, sem nenhuma marcação. Nota: Se você não usa nenhum tipo de cliente para desktop, você pode gerar suas chaves por aqui. O Mailvelope tem suporte a isso no menu da esquerda, e você também pode exportar as chaves.
3. Clique em “Import Keys” no menu da esquerda.
4. Você verá uma janela de texto vazia. Abra o arquivo de texto com as suas chaves públicas e privadas no seu editor de texto preferido (precisa ser um editor de texto!)
5. Selecione tudo, copie e cole na caixa de texto.
6. Clique em enviar. Você deve receber dois alertas diferentes em verde na página que dizem se as chaves foram importadas com sucesso.

Você pode exportar suas chaves assim que quiser. Uma das melhores coisas do Mailvelope é que você não precisa configurar as chaves para cada endereço de email que usa. Assim que tiver uma adicionada, pode usá-la no Gmail, Outlook, Yahoo ou qualquer outro cliente de webmail de sua preferência adicionado à “Watch List” nas preferências do Mailvelope. Você pode ler mais sobre as versões suportadas do Mailvelope e recursos aqui.

Agora, na próxima vez que você for escrever um email no Gmail, você encontrará um botão de um bloco de notas flutuando na sua área de texto. Clique nele para abrir a tela para compor um email do Mailvelope. Digite o que quiser nesta janela, e então clique novamente no botão do bloco de notas. Selecione a chave desejada para criptografar a mensagem, e então clique em Ok, e você verá a sua mensagem totalmente embaralhada. Clique em “Transfer” para voltar ao Gmail (e esta será a primeira vez que a mensagem estará no Gmail. Antes disso, quando você escrever no Mailvelope, nenhum rascunho será armazenado e o Google não verá nada) e envie.

O lado ruim do Mailvelope é que os anexos não podem ser criptografados junto com a mensagem. Ainda assim, considerando que existem serviços de armazenamento na nuvem com foco em privacidade e segurança, acreditamos que você possa enviar seus arquivos para um deles, fornecer o acesso ao seu destinatário, e colar o link para ele no texto, em vez de anexar um arquivo. Assim, você tem certeza que texto e arquivos estão criptografados, e só as pessoas certas terão acesso a eles.

A melhor parte desta configuração em particular é que você pode criptografar seu email usando as mesmas chaves no desktop ou webmail, e em vários provedores. Como o PGP é bem conhecido, entendido e usado, você pode confiar que suas comunicações ficarão bem seguras com ele. Dá trabalho para instalar, mas assim que tudo estiver pronto, suas conversas ficarão seguras e criptografadas.

Se o seu inglês estiver afiado, você pode conferir os vídeos abaixo ensinando a configurar seu cliente de email para desktop (o primeiro) ou o seu webmail (o segundo) para usar o PGP: