पीजीपी / ओपनपीजीपी Pretty Good Privacy — इंसानों के लिए सार्वजनिक-कुंजी क्रिप्टोग्राफ़ी
वह क्रिप्टोग्राफ़ी जो दुनिया के दूसरे छोर पर बैठे किसी अजनबी को यह सत्यापित करने देती है कि कोई दस्तावेज़ वाक़ई हमारा है।
फ़ाइलों, संदेशों और सॉफ़्टवेयर रिलीज़ को साइन और एन्क्रिप्ट करने के लिए एक पब्लिक-की क्रिप्टोग्राफी योजना, जिसे मूल रूप से 1991 में Phil Zimmermann ने लिखा था। OpenPGP (RFC 4880, जिसे 2024 में RFC 9580 द्वारा अपडेट किया गया) के रूप में मानकीकृत। संदर्भ मुक्त-सॉफ़्टवेयर कार्यान्वयन GnuPG (gpg) है। सॉफ़्टवेयर रिलीज़ की अखंडता सत्यापित करने, ईमेल साइन करने, फ़ाइलें एन्क्रिप्ट करने और आउट-ऑफ़-बैंड चैनल पर पहचान प्रमाणित करने के लिए उपयोग किया जाता है।
PGP वह तरीक़ा है जिससे हम अपने ही बयानों को सत्यापन-योग्य बनाते हैं।
TLS यह साबित करता है कि आप certificate पर दर्ज डोमेन के नियंत्रण वाले सर्वर से बात कर रहे हैं; यह साबित नहीं करता कि NordBastion नामक संगठन ने कोई ख़ास बात कही है। जिन बयानों का जाली न बनाया जा सकना ज़रूरी है — warrant canary, पारदर्शिता रिपोर्ट, release artefact, हस्ताक्षरित सलाह — उनके लिए TLS काफ़ी नहीं है। PGP वह लापता परत है।
हमारी सार्वजनिक कुंजियाँ /pgp/ पर फ़िंगरप्रिंट के साथ सूचीबद्ध हैं। Warrant canary पर हर अवधि में PGP-हस्ताक्षर किए जाते हैं; पारदर्शिता रिपोर्ट के साथ एक detached signature होता है; release archive .asc फ़ाइलों के साथ आते हैं। हमारी सार्वजनिक कुंजी की प्रति रखने वाला कोई भी व्यक्ति `gpg --verify` चला सकता है और क्रिप्टोग्राफ़िक निश्चितता पा सकता है कि उसके पास मौजूद दस्तावेज़ मेल खाती निजी कुंजी के धारक ने बनाया है और तब से उसमें कोई बदलाव नहीं हुआ है।
दूसरा पहलू: PGP तभी काम करता है जब आप कुंजी के फ़िंगरप्रिंट की तुलना किसी स्वतंत्र स्रोत से करें। /pgp/ पेज फ़िंगरप्रिंट सूचीबद्ध करता है, हमारा Tor mirror इसे सूचीबद्ध करता है, हमारे keybase / social profile इसे सूचीबद्ध करते हैं; किसी नई आयात की गई कुंजी पर भरोसा करने से पहले आपको कम से कम दो की तुलना करनी चाहिए। यही प्रोटोकॉल का असुविधाजनक हिस्सा है, और यही वह हिस्सा भी है जो वह गुण देता है जिसकी बाक़ी पूरे सिस्टम को वास्तव में ज़रूरत है।
वे पेज जो इस शब्द पर टिके हुए हैं।
वे सवाल जो लोग सचमुच पूछते हैं।
PGP वास्तव में क्या करता है?
दो जुड़ी हुई चीज़ें। पहली, यह फ़ाइलों और संदेशों पर डिजिटल हस्ताक्षर करता है ताकि आपकी सार्वजनिक कुंजी रखने वाला कोई भी व्यक्ति सत्यापित कर सके कि कोई दस्तावेज़ वाक़ई आपसे आया है और उससे छेड़छाड़ नहीं हुई — warrant canary, पारदर्शिता रिपोर्ट और release archive इसी पर निर्भर करते हैं। दूसरी, यह किसी ख़ास प्राप्तकर्ता के लिए फ़ाइलों और संदेशों को एन्क्रिप्ट करता है ताकि केवल उससे मेल खाती निजी कुंजी का धारक ही उन्हें डिक्रिप्ट कर सके।
PGP और OpenPGP में क्या अंतर है?
PGP वह मूल प्रोग्राम था जिसे Phil Zimmermann ने 1991 में लिखा और जिसका बाद में व्यावसायीकरण हुआ। OpenPGP वह खुला मानक है जो PGP के फ़ाइल फ़ॉर्मैट और प्रोटोकॉल से निकला है, जिसे पहली बार RFC 2440 (1998) में निर्दिष्ट किया गया और जो वर्तमान में RFC 9580 (2024) द्वारा परिभाषित है। आज जब लोग "PGP" कहते हैं, तो उनका मतलब लगभग हमेशा किसी OpenPGP implementation से होता है — आम तौर पर GnuPG (gpg), जो free-software संदर्भ implementation है।
PGP, TLS से कैसे अलग है?
TLS एक live connection के दौरान सर्वर को प्रमाणित करता है और दो endpoint के बीच की लाइन को एन्क्रिप्ट करता है — यह link-layer गोपनीयता है जो connection बंद होते ही ख़त्म हो जाती है। PGP किसी डेटा के पीछे के इंसान या संगठन को प्रमाणित करता है और उस डेटा को इस तरह एन्क्रिप्ट करता है कि वह डिस्क पर, ईमेल में, बैकअप टेप में, हमेशा के लिए एन्क्रिप्टेड रहे। TLS बातचीत की रक्षा करता है; PGP दस्तावेज़ की।
मैं NordBastion के PGP हस्ताक्षर को कैसे सत्यापित करूँ?
/pgp/ से हस्ताक्षर कुंजी को अपने स्थानीय GnuPG keyring में आयात करें (`gpg --import nordbastion.asc`), फ़िंगरप्रिंट की तुलना साइट पर प्रकाशित फ़िंगरप्रिंट से और आदर्श रूप से किसी out-of-band प्रति (Tor mirror, social-media post) से करें, फिर `gpg --verify
