Hướng dẫn sử dụng PGP để mã hóa email cá nhân

Cách đơn giản nhất để mã hóa email cá nhân bằng PGP hiện nay là dùng Thunderbird, vì ứng dụng này đã tích hợp sẵn OpenPGP: bạn tạo cặp khóa ngay trong cài đặt tài khoản, trao đổi khóa công khai với người liên lạc, rồi bật nút mã hóa khi soạn thư. Nếu dùng Gmail hay Outlook trên trình duyệt, tiện ích Mailvelope cho phép làm điều tương tự. Hướng dẫn dưới đây đi từ khái niệm cơ bản tới thao tác cụ thể, kèm những lưu ý để không vô tình gửi thư dạng rõ.

PGP bảo vệ email như thế nào

Mỗi người có một cặp khóa: khóa công khai chia sẻ cho mọi người và khóa riêng giữ bí mật. Khi gửi thư cho An, bạn mã hóa bằng khóa công khai của An; chỉ khóa riêng của An mới giải mã được. Ngoài ra, bạn có thể ký thư bằng khóa riêng của mình để An kiểm tra thư đúng là do bạn gửi và không bị sửa.

Điểm khác biệt quan trọng so với mã hóa mà Gmail hay Outlook cung cấp sẵn: với PGP, nhà cung cấp email chỉ lưu nội dung đã mã hóa và không có khóa để đọc. Ngay cả khi tài khoản bị xâm nhập, kẻ tấn công cũng không đọc được nội dung thư nếu không có khóa riêng và cụm mật khẩu.

Cách 1: Thunderbird với OpenPGP tích hợp

Tạo khóa

1. Cài Thunderbird và thêm tài khoản email của bạn.
2. Vào Cài đặt tài khoản > Mã hóa đầu cuối (End-To-End Encryption).
3. Chọn Thêm khóa > Tạo khóa OpenPGP mới. Chọn thời hạn, ví dụ hai năm, loại khóa mặc định.
4. Sau khi tạo, vào Trình quản lý khóa OpenPGP để sao lưu khóa riêng ra tệp, đặt mật khẩu bảo vệ, lưu ở nơi an toàn ngoài máy.

Chia sẻ khóa công khai

• Đính kèm khóa công khai khi gửi thư (Thunderbird có tùy chọn tự động đính kèm).
• Tải khóa lên máy chủ khóa có xác minh email như keys.openpgp.org để người khác tìm thấy.
• Đăng dấu vân tay khóa trên trang cá nhân hoặc chữ ký email để người khác đối chiếu.

Nhập khóa của người liên lạc

Khi nhận thư có đính kèm khóa công khai, Thunderbird đề nghị nhập. Hãy kiểm tra dấu vân tay khóa với người đó qua một kênh khác như gọi điện hoặc tin nhắn, rồi đánh dấu "Tôi đã xác minh". Bước xác minh chống được tình huống kẻ gian gửi khóa giả mạo danh người quen.

Gửi thư mã hóa

Khi soạn thư, nhấn nút Mã hóa trên thanh công cụ. Thunderbird sẽ báo nếu thiếu khóa của người nhận nào. Bật tùy chọn ký số để người nhận xác minh nguồn gốc. Thunderbird mặc định mã hóa cả tiêu đề thư theo cơ chế "protected headers": tiêu đề thật nằm bên trong phần mã hóa, còn tiêu đề hiển thị ra ngoài là ba dấu chấm.

Cách 2: Mailvelope cho webmail

Mailvelope là tiện ích mở rộng mã nguồn mở cho Chrome, Edge và Firefox, hoạt động với Gmail, Outlook.com và nhiều dịch vụ webmail khác.

1. Cài tiện ích từ kho chính thức của trình duyệt.
2. Tạo khóa mới hoặc nhập khóa có sẵn trong phần cài đặt của tiện ích.
3. Khi soạn thư trên Gmail, biểu tượng Mailvelope xuất hiện trong khung soạn; nhấn vào để soạn trong cửa sổ bảo mật riêng của tiện ích, chọn người nhận và mã hóa.
4. Thư nhận được ở dạng mã hóa sẽ được Mailvelope nhận diện và giải mã ngay trong trang khi bạn nhập cụm mật khẩu.

Ưu điểm là không phải đổi thói quen dùng webmail; nhược điểm là khóa nằm trong trình duyệt, nên trình duyệt cần được bảo vệ tốt.

Cách 3: Dùng dịch vụ có PGP tích hợp

Một số dịch vụ email bảo mật tích hợp OpenPGP sẵn, tự động mã hóa giữa người dùng cùng hệ thống và cho phép nhập khóa công khai của người ngoài. Nếu bạn đang cân nhắc chuyển nhà cung cấp, hãy xem bài đánh giá các dịch vụ email bảo mật mã hóa.

So sánh nhanh ba cách

Những gì PGP không che giấu

• Địa chỉ người gửi, người nhận và thời gian gửi luôn ở dạng đọc được.
• Tiêu đề thư chỉ được bảo vệ nếu ứng dụng hỗ trợ protected headers và người nhận cũng dùng ứng dụng tương thích.
• Tên file đính kèm có thể lộ nếu bạn mã hóa file riêng rồi đính kèm vào thư không mã hóa.
• Thư trả lời từ người không dùng PGP có thể trích dẫn nội dung gốc ở dạng rõ.

Với tài liệu đính kèm quan trọng, bạn có thể mã hóa riêng từng tệp trước khi gửi theo hướng dẫn trong bài bảo vệ file tài liệu bằng GPG/PGP.

Dùng PGP trên nhiều thiết bị

Nếu bạn đọc thư trên cả máy tính và điện thoại, khóa riêng cần có mặt ở cả hai nơi. Cách an toàn là xuất khóa riêng từ Thunderbird thành tệp được bảo vệ bằng mật khẩu, chuyển sang điện thoại qua cáp hoặc USB thay vì gửi qua email hay dịch vụ chat, rồi nhập vào ứng dụng hỗ trợ OpenPGP. Mỗi thiết bị giữ khóa riêng là thêm một điểm có thể bị lộ, nên chỉ làm điều này với thiết bị bạn kiểm soát hoàn toàn, có khóa màn hình mạnh và được cập nhật thường xuyên.

Thói quen để PGP thực sự hiệu quả

1. Luôn xác minh dấu vân tay khóa trước khi gửi thông tin nhạy cảm lần đầu.
2. Sao lưu khóa riêng và chứng chỉ thu hồi ở nơi an toàn, tách khỏi máy tính chính.
3. Đặt lịch gia hạn khóa trước khi hết hạn, và thông báo khóa mới cho người liên lạc.
4. Không chuyển tiếp thư đã giải mã sang tài khoản không mã hóa.
5. Bảo vệ thiết bị: khóa riêng an toàn đến đâu cũng vô ích nếu máy bị cài phần mềm gián điệp.

Với người cần mức an toàn cao như nhà báo làm việc với nguồn tin, PGP thường được dùng kết hợp với môi trường như Tails OS để giảm rủi ro từ máy tính bị nhiễm mã độc.