Come già scritto sopra è possibile scaricarlo dal sito ufficiale ma un download alternativo è possibile farlo anche su Simtel

Le dimensioni del file (zip) da scaricare (relative alla versione 3.01) sono molto ridotte, solo  1962 Kb


Una volta scaricato il file gpgsh301.zip dovete estrarne il contenuto con un programma per la decompressione dei files come

ad esempio 7-Zip (Freeware e Open Source) Izarc  Winzip  Powerarchiver  oppure altri compressori noti o meno noti.





GnuPG è un programma multipiattaforma ma noi andremo a prelevare la versione per Windows (1,27 Mb)




Una volta scaricato il file basta estrarlo in una cartella qualunque, per esempio C:\Programmi\GnuPG oppure C:\GnupG

Non dovete fare altro, le vecchie versioni di GPGshell richiedevano una modifica del file autoexec.bat ma le nuove no.

Una volta estratto il contenuto del file gnupg-w32cli- 1.2.4 .zip in una cartella dovete solo installare GPGshell, sarà lui al

termine della procedura di installazione a chiedervi il percorso della cartella dove avete estratto gpg.exe e sarà sempre lui a fare
 
le necessarie modifiche al registro di sistema (anche queste erano richieste dalle vecchie versioni di GPGshell)

Nell'immagine seguente vediamo il contenuto del file, per la cronaca i files con estensione .mo sono files relativi al linguaggio

se lo desiderate potete eliminarli tutti tranne quello che interessa a voi (it.mo riguarda la lingua italiana)









Nell'immagine successiva vedete le varie scelte possibili a livello di icone sul desktop e nella tray, è anche possibile creare un

collegamento all'interessante funzione GPGsfx (SFX cifrati) nel menù Send To (Invia a:) vi consiglio di spuntare questa opzione.








Cliccando con il tasto destro del mouse sull'icona di GPGshell vedrete apparire  un menù verticale.


.









Sottolineo che se volete rimuovere la voce GPGshell dal menù contestuale del mouse (o viceversa) e /o associare a GPGshell

le varie estensioni .gpg .asc o.sig dovete prima cliccare nei rispettivi riquadri  sino a farli diventare blu e poi premere il pulsante

OK e per rendere effettiva la modifica. E' quasi sempre necessario il riavvio del computer












Per creare la vostra prima chiave con GPGshell (è questo il vostro caso?) cliccate sull'icona di GPGKeys presente sia sul

desktop che nel menù Start - Programmi - GPGshell  vedrete aprirsi il portachiavi.

La prima volta che lanciate in esecuzione GPGKeys vedrete comparire un avviso in inglese che vi chiede se importare un

portachiavi già esistente, premendo no si aprirà invece subito il cosidetto "portachiavi" (vuoto se non avevate già una chiave)





Per creare la chiave premete CTRL+ N  oppure cliccate su Chiave/i (vedi immagine sopra) e poi Nuova





Apparirà una finestra DOS dove vi verrà chiesto che tipo di chiave creare, sono possibili tre scelte, quella di default è creare

una chiave DSA e Elgamal (cifra e firma) per creare tale chiave scrivete 1 (uno) e premete il tasto Invio




A questo punto appare la possibilità (se si è cambiata idea o se si è commesso qualche errore) di modificare i valori inseriti

in precedenza senza dover magari annullare la creazione della chiave e reiniziare tutto da capo.

Se tutto è stato inserito correttamente premete il tasto O (O come occhio) per passare alla fase successiva che consiste

nell'inserire una passafrase (password) che protegge la vostra chiave da un uso non autorizzato.




Sotto vedete la richiesta di inserimento della passafrase, vi ricordo che una passafrase corretta è composta

da almeno 8 (o più)  lettere, numeri e caratteri speciali, si raccomanda vivamente di creare una password "dedicata"

(diversa quindi da quelle di posta elettronica, accesso a Internet  e programmi di messaggistica immediata )

Premetto che un messaggio cifrato con una passafrase "Pippo" è sicuro come quello cifrato con una password composta da

d4h§3782\Y0344X@àò^  la differenza è che se qualcuno si impadronisce della vostra chiave perchè riesce ad accedere

fisicamente al vostro PC (o anche da Internet tramite un Trojan o una vulnerabilità del software) dovrà faticare assai prima di

riuscire a trovare la passafrase giusta attraverso tentativi o con appositi programmi di brute force.

Create quindi una passafrase che sia equilibrata, cioè un giusto compromesso tra sicurezza e facilità di uso senza cadere in

esagerazioni che vi costringano a digitare un enciclopedia ogni volta che dovete cifrare/decifrare/firmare un messaggio o un

file o che ancora peggio vi costringano a scriverla da qualche parte, magari su un bigliettino vicino al computer.




Si raccomanda per favorire l'entropia (la generazione di dati casuali)  di muovere il mouse, di usare il disco rigido.

(esempio: aprire o chiudere cartelle, aprire files ) e di usare la tastiera durante la creazione della chiave.

Al termine della creazione della chiave verrete avvisati e potrete chiudere la finestra DOS

Ora potete raggiungere di nuovo il portachiavi (GPGkeys) e trovare la vostra chiave appena generata, il colore giallo identifica

la chiave come DSA.





Selezionando la chiave potete (con il tasto destro del mouse) avere accesso a varie funzionalità





GPGshell comprende anche l'utilissima possibilità di creare file autoestraenti crittografati (un pò come gli SDA di PGP )

Questo è molto utile se dovete mandare messaggi e/o documenti crittografati a persone che non hanno sul loro computer

un programma crittografico compatibile con PGP/GnuPG o che anche installandolo non sono in grado di  usarlo.

Si tratta in pratica di un file SFX autoestraente che richiede una password al momento di essere aperto, questa password

chiaramente  non viaggerà insieme al file crittografato spedito per email ma verrà comunicata al destinatario per telefono o

concordata di persona in anticipo (o come preferite voi)

Per poter usare questa funzione bisognava una volta scaricare a parte alcuni files ed estrarli in alcune cartelle ma dalla versione

3.00 tutto è compreso nell'installazione e non dovete quindi scaricare nulla.

Se voi (o il destinatario) non siete esperti di crittografia e dovete far viaggiare per email dei dati riservati, bancari o medici

questa funzione degli SFX può rivelarsi particolarmente utile  - vi ricordo anche che dall'inizio del 2004 in Italia  è in vigore il

Decreto Legislativo del 30 Giugno 2003 (196/03) "Codice in materia di protezione dei dati personali" dove all'articolo 34

punto h si parla proprio di "adozione di tecniche di cifratura" che organismi sanitari (studi medici compresi) sono tenuti ad usare





 

Appare poi la richiesta di inserire la password, dopo averla digitata premete di nuovo il tasto invio




Il documento cifrato all'interno dell'SFX viene estratto e premendo un qualsiasi tasto la finestra DOS viene chiusa.


Se la password è "buona" vi è un ottimo livello di sicurezza, come già scritto prima evitate quindi password banali e/o troppo

corte, ricordate inoltre che per cifrare un SDA non dovete inserire come password la vostra passafrase di GnuPG , se usate

abitualmente gli SDA per trasferire via email documenti riservati (specie se di elevata importanza finanziaria) usate per cifrarli

una password sempre diversa che comunicherete al destinatario al momento della effettiva ricezione del file.

Ricordate che tutti i messaggi email nel percorso mittente-destinatario viaggiano per numerosi server e vi è quindi la possibilità

per chi gestisce tali server di visualizzare tali messaggi (e i loro allegati) e volendo anche di farne in automatico una copia su cui

è possibile eseguire comodamente in seguito dei tentativi di decifratura.




Quindi viene spedito il file via email alla filiale B - ricevuto il file la filiale B lo salva sul desktop (senza aprirlo) telefona alla filiale

A e si fa dire innanzi tutto il digest (detto anche il sums o checksum) del file, quindi si procede alla verifica di questo digest.

Se tutto il digest comunicato per telefono corrisponde a quello del file ricevuto la filiale B lancerà in esecuzione il file SDA e

provvederà quando richiesto all'inserimento della password che ne permette la decifrazione.

Perchè questa precazione di verificare che il file sia lo stesso?

I motivi sono molteplici, andiamo dalla possibilità di sostituire l'SDA allegato al messaggio con un altro dal contenuto diverso

alla possibilità che l'SDA contenga un virus allegato intenzionalmente (o accidentalmente) infatti molti virus vanno a infettare

tutti i files con estensione .exe - inoltre vi è la possibilità che qualcuno prepari una trappola per impossessarsi della password

potrebbe per esempio intercettare il file SDA, e inserire nell'eseguibile una backdoor che potrebbe sottrarre la password e/o

prendere il controllo della macchina del destinatario (è molto  più facile fare una cosa del genere che violare un files cifrato)

Se tutto questo può sembrare esagerato al navigatore qualunque  ricordate che esistono categorie di persone che con il

computer lavorano ($$$) o eseguono studi e ricerche molto delicate..

I punti critici di tutta questa operazione sono quindi due, verificare che quello che è stato spedito sia uguale a quello che

arriva a destinazione e lo scambio della password necessaria alla decrittazione*

* (assurdo allegare la password dell'SDA allo stesso messaggio o a un messaggio successivo se esso viaggia senza cifratura)

Lo scambio della password può avvenire per telefono oppure (modo ancora più sicuro) potete preparare due fogli identici

contententi 31 password tutte diverse, in occasione di un incontro mensile potete consegnarne al collega una copia e per

telefono dirgli " la password del file SDA che ti ho spedito oggi è la numero..." in tal caso si va a vanificare una eventuale

intercettazione ambientale effettuata abusivamente, è più facile e comodo corrompere un tecnico di una società telefonica che

violare un file cifrato con una password decente.