使用ThunderBird助力网络信息安全

2022-04-27刘惠果

网络安全技术与应用 2022年4期

关键词：数字签名公钥电子邮件

◆刘惠果

◆刘惠果

（贵州职业技术学院贵州 550023）

电子邮件通信一直是网络信息交换的主要方式之一，其安全性始终是人们关注的焦点。本文介绍基于Thunderbird邮件客户端，便捷的图形化操作就能实现PGP功能，大幅提升电子邮件安全性。

PGP；电子邮件客户端；信息安全。

PGP（Pretty Good Privacy）中文常译作“完美隐私”，最初由颇具传奇色彩的传奇程序员Phil Zimmermann于1991年发布[1]，其衍生版本有OpenPGP（开源PGP）、GPG（GNU Privacy Guard，GNU隐私卫士）等，不同名称会令初学者困惑。这些名字是不同时期的产物，其核心内容大同小异。历时30年发展，PGP仍是简单有效的保护个人或企业隐私的强加密软件，苹果公司（Apple Inc.）也是PGP用户[2]。

纵观中文互联网，绝大多数对PGP入门介绍仍以命令行为主，这对于习惯于触屏设备的新生代互联网用户而言困难重重。某些有安全意识的用户试着了解并使用PGP，都浅尝辄止。PGP的推广非常迟缓。

电子邮件客户端是运行于PC的应用程序，与常见的用浏览器登入账户处理邮件不同，客户端可以离线阅读或者撰写邮件，便捷地管理多个邮件账户。

Thunderbird是一款开源、免费、跨平台的应用程序，没有任何弹窗或漂浮的广告。用户可以在其官方网站上选装多达一千余种插件[3]，实现诸多个性化功能。Thunderbird于2020年8月首次发布内置GnuPG的版本，V78.2.1以后的用户只需安装该软件，用于PGP电子邮件处理的所有功能都已经就绪[4]。

软件制造商很难在便利性与安全性间找到完美的平衡点，新版本的Thunderbird已经通过图形化的方式使PGP使用变得非常便捷，作为新手在使用前必须明确一些概念：公钥，主要用于加密数据、校验签名；私钥，主要用于解密数据，签名数据[5]。

以下是应用实例。

Jerry首次安装了Thunderbird并正确配置了自己的QQ邮箱，进入账号设置—端到端加密—添加密钥，如图1所示。

首次使用PGP的用户，选择创建OpenPGP密钥

密钥有效期，默认3年，用户可以根据自己需要设定其他的时间长度。

密钥类型，默认RSA[6]；密钥大小默认3072，RSA类型的密钥最长可以设定为4096。其他的PGP软件在生成密钥前会要求用户设定使用私钥的密码，Thunderbird略去此参数，笔者推断是出于便利性的考量，如图2所示。

图1 账号设置—端到端加密—添加密钥

图2 创建OpenPGP密钥

确定全部参数后，点击生成密钥，数秒后软件提示已成功创建密钥。

密钥生成后，用户需要将自己的公钥导出，并分发给其他也使用PGP的联系人。

另一名用户Liuhuiguo重复上述步骤，生成自己的密钥，并通过普通邮件、IM或者直接U盘等方式与他人互换公钥。

接下来，Jerry和Liuhuiguo就可以轻松地使用PGP保护两人的电子邮件了。

Liuhuiguo向Jerry发送电子邮件，只需在Thunderbird邮件撰写窗口的选项下拉菜单，确认要求加密、对此消息数字签名处于选中状态即可，如图3所示。

发出加密邮件以后，Liuhuiguo或Jerry用浏览器登入邮件账户，只能看见附件包含PGPMIME version identification与encrypted.asc两个文件。用“记事本”查看PGPMIME version identification，仅一行文本：Version：1；encrypted.asc的内容则是以“-----BEGIN PGP MESSAGE-----”开头的一堆“乱码”。

由此可见，电子邮件在离开发信人的计算机以前已经被加密，网站管理员也无法窥视。

Jerry用Thunderbird收信，直接看到正常邮件。邮件阅读窗口右上角有OpenPGP相关信息，点击后可以看到，此邮件的数字签名已经通过验证，邮件内容已正常解密，如图4所示。