La maggior parte dei mercati Dark Net (Agora, Nucleus, ecc.) raccomandano che i clienti utilizzino PGP quando comunicano con i fornitori, in particolare quando inviano il loro indirizzo. La chiave pubblica del venditore è presentata pubblicamente sul loro profilo DNM.
Quali minacce ha questo controllo? E fino a che punto? Ad esempio:
Come sempre nella sicurezza delle informazioni, devono essere considerati diversi scenari e vettori di attacco.
La crittografia con chiavi non verificate prese dal marketplace può sicuramente non proteggere contro un mercato compromesso - ovviamente, in un mercato compromesso, le chiavi potrebbero essere state scambiate. Potresti capire quando cambiano le chiavi per lo stesso venditore, però. Praticamente lo stesso vale per un account venditore compromesso, in cui la chiave potrebbe essere cambiata in una in controllo dell'aggressore .
Alla fine, non c'è molta protezione quando il mercato o un account lì è compromesso, specialmente se entri in contatto con l'altro lato per la prima volta.
Potrebbe essere d'aiuto, anche se c'è un problema intermedio, durante la trasmissione , quando l'attaccante non ha alcun controllo sulle chiavi elencate. Ad esempio i dati non crittografati inviati per errore o problemi software o altri problemi con la sicurezza del trasporto, quando i contenuti del messaggio sono ancora crittografati.
Più importante, la crittografia dei messaggi renderà la vecchia comunicazione più sicura. Chiunque tenga in possesso dei messaggi crittografati perché l'account del venditore o l'intero marketplace è stato compromesso, non essere in grado di leggere il testo in chiaro del messaggio. A seconda delle misure di sicurezza adottate dal destinatario (come chiavi offline e passphrase per crittografare le chiavi), anche un computer compromesso o sequestrato non rivelerà il contenuto del messaggio.
Infine, questo potrebbe non solo aiutare a garantire la privacy della comunicazione, ma anche assicurare l'identità dei partner di comunicazione se vengono utilizzate le firme . Dato che un account è compromesso dopo un po 'di tempo, non saresti in grado di rendertene conto. Se i messaggi non sono solo crittografati, ma anche firmati, potresti capire che il mittente è qualcun altro - tutti potrebbero crittografare usando la tua chiave pubblica, ma finché la chiave del proprietario dell'account reale non è stata compromessa, non possono impersonarlo.
Poiché PGP è una crittografia end-to-end, impedisce almeno il trasporto della posta. Ciò è contrario alla solita crittografia hop-by-hop con TLS in cui la posta è disponibile non crittografata su ciascun server di posta nella catena di consegna.
Oltre a ciò, la posta potrebbe anche essere ancora crittografata nella casella di posta in arrivo del destinatario e nella posta in uscita del mittente in modo che siano ancora protetti anche se il mittente o il destinatario è compromesso, purché la parte privata del PGP dei destinatari la chiave non è nota all'attaccante. Ma una volta che la chiave è nota, tutte le comunicazioni vecchie e future allo stesso destinatario (con la stessa chiave) possono essere decodificate.
Anche farti firmare una mail con PGP può aiutarti a essere sicuro di parlare con la persona giusta. D'altra parte la firma potrebbe essere pericolosa perché una volta che il destinatario è stato attaccato con successo, sarà difficile per contestare l'origine di una mail se l'hai firmata usando la tua chiave PGP. E dal momento che stai chiedendo del mercato oscuro probabilmente vorrai contestare l'origine con successo.
Leggi altre domande sui tag pgp