Come configurare la crittografia email OpenPGP in Thunderbird 115 Supernova

La funzionalità OpenPGP integrata in Thunderbird consente di crittografare un'e-mail in modo che solo i destinatari in possesso della chiave segreta corrispondente possano leggerne il contenuto protetto. In Thunderbird 115 Supernova, è necessario configurare una chiave personale in Impostazioni account → Crittografia end-to-end , ottenere e verificare la chiave pubblica di ciascun destinatario e attivare la crittografia nelle impostazioni di sicurezza del messaggio prima dell'invio.

Nota sulla versione: Thunderbird 115 è ora una versione obsoleta. Le note di rilascio di Mozilla indicano Thunderbird 115.18.0 ESR, rilasciato l'11 dicembre 2024, come l'ultima versione di Thunderbird 115. Per la gestione di email sensibili, si consiglia di installare una versione di Thunderbird attualmente supportata e di utilizzare i relativi aggiornamenti di sicurezza. Il flusso di lavoro descritto di seguito è basato sull'interfaccia Supernova di Thunderbird 115; alcune etichette potrebbero differire nelle versioni più recenti.

Cosa protegge OpenPGP e di cosa hai bisogno per prima cosa?

OpenPGP utilizza una coppia di chiavi. La tua chiave pubblica può essere condivisa in modo che altre persone possano crittografare i messaggi a te destinati. La tua chiave segreta rimane sotto il tuo controllo e serve a decrittografare tali messaggi. Per inviare un'e-mail crittografata a qualcuno, hai bisogno della sua chiave pubblica; il destinatario deve avere la chiave segreta corrispondente disponibile nel proprio client di posta.

La crittografia end-to-end è una configurazione che richiede la collaborazione di due persone, non un interruttore che funziona automaticamente con ogni indirizzo. Ogni destinatario deve possedere una chiave valida e accettata, e tu hai bisogno di una chiave personale per l'identità dell'account da cui invii il messaggio. Thunderbird potrebbe bloccare un messaggio crittografato se manca la chiave del destinatario. L'introduzione di Mozilla alla crittografia end-to-end descrive questa configurazione e la necessità di proteggere la tua chiave segreta.

Prima di iniziare, assicurati di avere accesso all'account email corretto in Thunderbird, scegli una passphrase sicura per il backup delle chiavi e pianifica una posizione sicura per il backup. Se disponi già di una chiave OpenPGP in GnuPG o in un altro programma di posta elettronica, decidi se importarla anziché crearne una seconda. Riutilizzare la stessa chiave personale su più dispositivi ti permette di leggere i messaggi crittografati su ciascun dispositivo, ma solo se installi la chiave in modo sicuro su ognuno di essi.

Come si crea una chiave OpenPGP personale in Thunderbird 115?

1. Apri il menu dell'applicazione Thunderbird utilizzando il pulsante con le tre linee orizzontali, quindi seleziona Impostazioni account . Puoi accedere alle Impostazioni account anche dalla barra dei menu dell'applicazione.
2. Seleziona l'account o l'identità di posta elettronica che intendi utilizzare nella colonna di sinistra, quindi apri Crittografia end-to-end .
3. Nella sezione OpenPGP, seleziona Aggiungi chiave… . Scegli l'opzione per creare una nuova chiave OpenPGP anziché importarne una esistente.
4. Esamina l'indirizzo dell'account associato alla chiave e l'opzione di scadenza visualizzata nella finestra di dialogo. Una chiave con una data di scadenza potrebbe richiedere un rinnovo o una sostituzione successiva; una chiave senza data di scadenza evita tale scadenza, ma non elimina la necessità di proteggere e, eventualmente, sostituire una chiave compromessa.
5. Conferma la finestra di dialogo per generare la chiave. Quando Thunderbird ti propone la chiave come chiave personale dell'account, selezionala e conferma l'assegnazione.

Utilizza una chiave separata per ogni indirizzo email che necessita di una propria identità, a meno che la tua configurazione non associ intenzionalmente più indirizzi a una singola chiave. Mozilla specifica che Thunderbird richiede una chiave personale per ogni indirizzo utilizzato per ricevere email crittografate o inviare messaggi firmati. La guida alla configurazione dell'account Mozilla descrive i requisiti per la chiave personale, tra cui il fatto che una chiave utilizzabile deve essere valida, non revocata e includere l'indirizzo corrispondente.

Esegui un backup della chiave segreta prima di farvi affidamento.

La tua chiave segreta è essenziale per leggere i messaggi crittografati per te. Se la perdi, i mittenti potrebbero comunque crittografare la nuova posta utilizzando la tua chiave pubblica, ma potresti non essere in grado di decifrarla. Nelle Impostazioni dell'account, usa il menu accanto alla chiave configurata per scegliere l'azione di backup o esportazione. Conserva il backup in un luogo protetto e separato dal computer e ricorda la sua passphrase. Non inviare mai il backup della chiave segreta a un corrispondente né pubblicarlo online.

Valuta la possibilità di impostare la password principale di Thunderbird nelle impostazioni di privacy e sicurezza. Le FAQ di Mozilla sull'OpenPGP affermano che le chiavi memorizzate nel profilo di Thunderbird non sono protette da una password principale; chiunque abbia accesso a un profilo sbloccato potrebbe essere in grado di utilizzare le chiavi. Una password principale aggiunge protezione all'avvio di Thunderbird, ma non sostituisce un accesso sicuro al computer o un backup protetto.

Come si condivide la propria chiave pubblica in modo sicuro?

Per consentire a qualcuno di inviarti email crittografate, forniscigli la tua chiave pubblica . Nella finestra di composizione, utilizza il menu dei controlli di sicurezza per allegare la tua chiave pubblica oppure apri i dettagli della chiave dalle Impostazioni account o da OpenPGP Key Manager ed esporta la chiave pubblica. Puoi inviare l'allegato contenente la chiave pubblica o condividerlo tramite un altro canale. Un'email firmata digitalmente può anche includere una copia della tua chiave pubblica in modo che il destinatario possa verificarne la firma.

Prima di affidarti alla chiave, aiuta l'altra persona a verificarne l'impronta digitale. L'impronta digitale è un identificativo breve calcolato a partire dalla chiave completa. Confronta l'impronta digitale tramite un canale separato, come una telefonata o una conversazione di persona. Non considerare un nome, un indirizzo email, il risultato di un server di chiavi o un allegato come prova sufficiente: chiunque può creare una chiave che afferma di appartenere a un'altra persona. Mozilla spiega questo rischio in " Le chiavi OpenPGP potrebbero essere autentiche o contraffatte" .

Come si importa e si verifica la chiave di un destinatario?

1. Chiedi al tuo interlocutore di inviarti la sua chiave pubblica o di fornirti una fonte di download verificata. Spesso le chiavi pubbliche vengono inviate come .ascallegato. Anche OpenPGP Key Manager di Thunderbird può individuare alcune chiavi pubblicate utilizzando metodi supportati.
2. Importa la chiave pubblica dalla finestra di dialogo per gli allegati oppure tramite Strumenti → Gestore chiavi OpenPGP . Se la barra dei menu è nascosta, apri il menu dell'applicazione o abilita la barra dei menu dalle opzioni della finestra di Thunderbird.
3. Apri i dettagli della chiave e confronta la sua impronta digitale con quella fornita dal tuo corrispondente tramite un canale separato e affidabile.
4. Solo dopo la corrispondenza, contrassegna la chiave come verificata o accettata. La formulazione esatta della conferma può variare a seconda dello stato della chiave e della versione di Thunderbird.

Per un test a basso rischio, si può decidere di accettare una chiave non verificata, ma è importante comprenderne la differenza: la crittografia con una chiave falsa può consentire a un malintenzionato di accedere al messaggio, facendolo apparire protetto. Per conversazioni di natura finanziaria, legale, sanitaria o altre conversazioni riservate, è fondamentale verificare l'impronta digitale prima di accettare la chiave.

Come si crittografa un messaggio in Supernova?

1. Seleziona Scrivi e controlla l' indirizzo Da nella parte superiore della finestra di composizione. Deve corrispondere all'identità per la quale hai configurato una chiave OpenPGP personale.
2. Inserisci il destinatario e attendi che Thunderbird verifichi se è disponibile una chiave pubblica utilizzabile. Ripeti questa verifica per ogni destinatario, inclusi quelli in copia.
3. Apri il pannello di controllo della sicurezza dei messaggi nella barra degli strumenti di composizione. In Thunderbird 115, utilizza i controlli di sicurezza o OpenPGP per abilitare la crittografia; la visualizzazione precisa del pulsante può dipendere dalla personalizzazione della barra degli strumenti e dalla configurazione dell'account.
4. Prima di inviare il messaggio, verifica lo stato di sicurezza. Thunderbird 115 ha modificato i messaggi OpenPGP in modo che utilizzino per impostazione predefinita la combinazione di firma e crittografia, pertanto un messaggio crittografato può essere anche firmato digitalmente. La firma aiuta i destinatari a verificare che il messaggio non sia stato alterato e che corrisponda alla tua chiave.
5. Se Thunderbird segnala una chiave mancante o non valida, interrompi l'operazione e risolvi il problema relativo alla chiave. Non disabilitare la crittografia solo per inviare il messaggio se il contenuto è sensibile.

Thunderbird 115 potrebbe offrire un'impostazione per l'oggetto crittografato. Anche quando questa opzione è attiva, le normali email conservano comunque informazioni di instradamento come indirizzi del mittente e del destinatario e timestamp. Verifica le opzioni di sicurezza specifiche per il messaggio e evita di inserire dettagli riservati nell'oggetto, a meno che tu non abbia verificato come apparirà al destinatario. La crittografia non nasconde il fatto che l'email sia stata scambiata.

Come si può testare la configurazione prima di inviare email contenenti informazioni sensibili?

Invia a te stesso un messaggio di prova innocuo utilizzando la stessa identità dell'account e abilitando sia la crittografia che la firma. Apri il messaggio nella tua casella di posta e verifica che Thunderbird lo decifri e ne riporti lo stato della firma. Quindi chiedi al tuo mittente di inviarti un breve messaggio di prova crittografato e conferma che tu possa aprirlo. Un test riuscito verifica la chiave e la configurazione dell'account; non dimostra che una chiave non verificata appartenga alla persona a cui è indirizzata.

Quando si riceve posta protetta, Thunderbird potrebbe richiedere una passphrase o utilizzare la protezione tramite chiave configurata, visualizzando poi il contenuto decrittografato nella finestra del messaggio. Se non è possibile decrittografare un messaggio, verificare che il profilo del destinatario disponga della chiave segreta corretta, che la chiave non sia scaduta o revocata e che il mittente abbia crittografato il messaggio all'indirizzo e alla chiave corrispondenti.

Ciò che OpenPGP non garantisce

• Non è possibile crittografare i dati per conto di chi non possiede una chiave pubblica utilizzabile. Ogni destinatario necessita di una coppia di chiavi corrispondente e di un client di posta compatibile.
• Ciò non rende automaticamente autentica una chiave pubblica. Verifica le chiavi importanti al di fuori del canale di comunicazione per ridurre il rischio di una chiave contraffatta.
• Non protegge un dispositivo compromesso. Malware, un computer rubato e sbloccato o qualcuno che si impossessa della tua chiave segreta possono compromettere la riservatezza.
• Non garantisce che ogni client di posta elettronica sia in grado di leggere il messaggio. Verifica che il client del destinatario supporti OpenPGP e testa la gestione degli allegati e dei messaggi prima di utilizzarlo per uno scambio di messaggi urgente.
• Questo non rende Thunderbird 115 una versione attuale o supportata. Poiché la versione 115.18.0 ESR è stata l'ultima release di Thunderbird 115, si consiglia di utilizzare una versione attuale supportata per poter usufruire degli aggiornamenti di sicurezza.

Riferimenti ufficiali

• Note di rilascio della versione finale di Thunderbird 115.18.0 ESR
• Introduzione alla crittografia end-to-end in Thunderbird
• Configura un account email per la crittografia end-to-end.
• OpenPGP in Thunderbird: guida e domande frequenti
• Come identificare una chiave OpenPGP contraffatta