Windows上使用Thunderbird与GPG发送和解密公钥加密的电子邮件

作者：荒原之梦

原文链接：http://zhaokaifeng.com/?p=552

非对称加密的原理：

最先出现的加密方法是对称加密。在对称加密算法中是不区分公钥和私钥的，加密与解密使用的都是同一个密码。但是很显然，如果需要对信息进行加密与解密的不是同一个人，使用对称加密算法就存在密钥泄露的极大可能。因此，一种非对称加密的想法在1974年最先由Ralph C. Merkle提出。目前主要的非对称加密算法有：RSA、EIGamal、ECC、背包算法和D-H公钥加密算法等。

1. 公钥加密信息的工作过程：

A使用公钥加密算法创建一个自己的公钥A-1和私钥A-2。私钥A-2由A自己保管，不对外公开。公钥A-1则通过一些可信的渠道公布出去，例如使用了HTTPS的网页（这里之所以强调“HTTPS”是因为HTTPS协议对传输的信息做了加密，如果将公钥放在使用HTTP协议的网页上，由于HTTP是明文传输网页数据的，因此在传输的过程中有可能因为遭遇中间人攻击等而出现公钥被修改的可能。前文提到“可信的渠道”也是出于此原因。）、公钥服务器或者面对面传递公钥。B在拿到A的公钥A-1后，如果B想给A发送加密信息就可以使用公钥A-1进行加密后再发送给A，A收到加密信息后使用自己知道的，与公钥A-1对应的私钥A-2解密B发来的加密信息。

上述信息加密过程的一个应用就是本文接下来要介绍的发送使用公钥加密的电子邮件并用对应的私钥解密该邮件。公钥加密算法还有一个应用就是用于身份认证，即数字签名技术。

2. 数字签名的工作过程：

传统的签名可以通过签字人笔迹的唯一性确定信息的所有者。在计算机系统中，我们使用公钥加密算法进行数字签名。首先，仍然是生成一对公钥和私钥，公钥公布，私钥私有，但是这一次私钥不是用来解密的，而是用于加密的。由于私钥的与公钥具有数学上的关联性（虽然公钥与私钥具有相关性，但是使用目前主流的非对称加密算法并且在密钥长度足够复杂的情况下还没有找到破解这种关联性的有效的方法。2018年02月10日注），即一个公钥只对应一个私钥，只要一份文件可以通过一个公钥解密，那么在一般情况这份文件就是由这个公钥所对应的私钥的持有者加密的。这样就可以进行身份认证。

总结一下：

信息加密中，公钥加密，私钥解密；

数字签名中，私钥加密，公钥解密；

无论信息加密还是数字签名都是：公钥公开，私钥保密。

前期准备：

1. 下载和安装Thunderbird。

Thunderbird下载地址：https://www.mozilla.org/en-US/thunderbird/

2. 在Thunderbird上登陆一个电子邮件帐号。

3. 如果想对电子邮件加密技术有一个大致的了解，可以参考我的这篇博文：电子邮件加密技术初探

本文要用到的工具的介绍：

1. Thunderbird

这是一个邮件客户端，有很多插件可以使用，支持Windows、Linux和macOS.

2. GPGGPG

即GnuPG，是由自由软件基金会Free Software Foundation开发的用于替代商业软件PGP的一款免费软件，可以用来加密数据以及进行数字签名。PGP中使用了具有专利的算法，不能免费使用，而GPG中则没有使用具有专利的算法，可以免费使用。

3. Enigmail

Enigmail是Thunderbird的一个插件，可以对将要发送的邮件进行GPG公钥加密或对收到的使用GPG加密的邮件进行解密。

发送公钥加密的电子邮件的过程如下：

1. 下载安装GPG并创建密钥对

GPG官网下载地址：https://www.gnupg.org/download/index.html

或者也可以使用Gpg4win，Gpg4win官网：https://www.gpg4win.org/index.html

本文中使用的是Gpg4win.

Gpg4win安装完成后在默认情况下会打开Kleopatra，点击“创建密钥对”。

输入名字和邮箱，依次点击：下一步->创建

创建的过程中会要求设置一个密码以保护将要生成的私钥，这样可以防止私钥被越权使用。

稍等一会我们就可以看到“密钥对已成功创建”的窗口提示。在该窗口里我们还可以看到密钥指纹（密钥指纹可以用来验证密钥在传输的过程中是否被修改。指纹的另一个重要用途就是，由于公钥服务器并不会对上传的公钥进行身份验证，因此任何人都可以以你的名义上传公钥，为了防止这种情况发生，你可以在你的个人主页上公布自己的密钥指纹，以提供给下载了你的公钥的人用于验证公钥的真伪。）以及“生成您的密钥对副本”、“通过电子邮件发送公钥”和“将公钥上传到目录服务”(如果将公钥上传到了公钥服务器，不同的公钥服务器之间会相互交换公钥，最终你上传到一台公钥服务器上的公钥会遍布全网所有公钥服务器。之后，任何人都可通过该公钥对应的电子邮件地址或者密钥ID查找对应的公钥，从而向我们发送加密信息)这三个选项。

密钥对创建完成后，我们可以在Kleopatra中看到刚才创建的项目，选中该项目可以导出”.asc”格式的公钥，右键可以进行“更改到期日期”等更多操作。

2. 在Thunderbird中搜索安装插件Enigmail并配置密钥文件

关于在Thunderbird中安装插件的步骤，可以参考我的这篇文章Windows上设置Mozilla Thunderbird邮件客户端后台运行。

打开Thunderbird的设置，依次找到Enigmail->Key Management->File->Import Keys from File可以导入某个邮箱地址的公钥文件或者在搜索框中通过输入邮箱地址或密钥ID在公钥服务器上搜索对应的公钥。如果已使用GPG创建密钥对的电子邮件地址已经登陆了Thunderbird可以直接在Key Management里看到相关信息，不需要进行密钥文件配置。

安装Enigmail后，如果我们的Thunderbird上的一个邮箱账户没有设置GPG公钥，当我们使用该账户发信时就会弹出如下的警报：

The key ID 'XXX@XXX.XXX' configured for the current identity does not yield a usable OpenPGP key.
Please ensure that you have a valid, not expired OpenPGP key and that your account settings point to that key.
If your key is not expired, then check if you did set Owner trust to full or ultimate

这种情况下，除非对该账号设置GPG公钥或者卸载Enigmail，否则就无法在发送邮件时解除该警报，也无法在Thunderbird上使用该账号发送邮件。

3. 发送加密电子邮件

假设我们需要向AAA@AAA.AAA这个电子邮件地址发送GPG加密邮件，首先应该使用第二步介绍的方法导入AAA@AAA.AAA对应的公钥文件（该文件将用于加密邮件），或者通过邮件地址AAA@AAA.AAA或对方的密钥ID在公钥服务器上搜索其公钥，搜索到的公钥需要进行指纹验证以确保该公钥不是伪造的。当我们第一次使用一个已经设置GPG公钥的电子邮件地址向另外一个具有GPG公钥的电子邮件地址发送邮件时会弹出确认提示：

You did not yet configure Enigmail security for the selected identity. Do you want to do this now?

点击Configure，选中Enable OpenPGP support (Enigmail) for this identity，点击OK. 之后会弹出窗口询问我们是想使用GPG进行加密还是进行身份认证以及使用哪种GPG加密方式：

Enigmail Encryption & Signing Settings
Encrypt Message
Sign Message
Use Inline PGPUse PGP/MIME

这里我们选择Encrypt Message和Use PGP/MIME，点击OK.

在发送邮件之前，我们可以通过点击工具栏上的小锁在加密与不加密之间切换。

4. 解密收到的加密电子邮件

假设我们的一个邮箱地址BBB@BBB.BBB接收到一封GPG加密的电子邮件（该邮件使用的是BBB@BBB.BBB的公钥进行的加密），那么，我们就可以在安装有GPG软件的电脑上（且该电脑上存储有BBB@BBB.BBB的私钥）使用邮件客户端，通过输入BBB@BBB.BBB的私钥加密密码的方式解密该邮件。在网页端登陆邮箱，需要配合插件来解密GPG加密的邮件。

注1：前面设置密钥对时设置的密码并不是私钥，而是加密私钥的密码，仅仅使用该密码是不可以解密邮件的，必须配合私钥文件一起才能解密。

注2：GPG加密的邮件并不会加密邮件地址和标题。

End

My Website:http://zhaokaifeng.com/

---