Recentemente, tenho brincado com o GnuPG usando um yubikey, e é muito bom, mas tenho algumas preocupações que gostaria de perguntar.
O PGP parece voltado para e-mails e mensagens de curta duração. O padrão OpenPGP é estável o suficiente para que, se eu criptografar um arquivo usando GnuPG, ainda possa descriptografá-lo daqui a 5 a 10 anos?
Não estou perguntando sobre a força a longo prazo de qualquer algoritmo de criptografia que eu escolher para usar com o PGP, mas sobre a estabilidade do padrão e compatibilidade com versões anteriores.
Resumindo, o PGP é adequado para armazenamento de arquivos criptografados de longo prazo? ou isso é uma má prática?
Segundo, o PGP parece inchado e muitos metadados são adicionados aos arquivos. Existe uma maneira de usar as cifras brutas, como AES/RSA, como você faria se fizesse a criptografia/login, digamos PyCrypto
Como alguém vai mencionar isso, eu conheço e uso o VeraCrypt, o que também seria uma opção. Mas eu gosto da simplicidade do PGP para meu caso de uso específico.
Responder1
O PGP existe há cerca de 27 anos (desde 1991), foi extensivamente testado (inclusive por governos que tentam quebrá-lo) e ainda funciona, ótimo. Você não pode prever o futuro, mas é seguro apostar que ainda existirá por mais 5 ou 10 anos, pelo menos. Parece uma boa prática.
A criptografia segura não é realmente um bom projeto DIY. Você mesmo pode encontrar as cifras de criptografia e tentar usá-las diretamente, mas há muitos erros não muito óbvios que podem reduzir drasticamente a segurança (como encontrar um bom número e chave aleatórios para uma). AtéParece que o OpenSSL encnão faz um trabalho muito bom(Hash MD5 com contagem de iteração fixada em 1).