Com usar PGP no qubes air-gapped offline

A maioria dos usuários do Qubes comete um grave erro ao utilizar o PGP, colocando em risco suas chaves privadas e senhas. Existem métodos que, mesmo se um invasor obter controle total da sua appVM, garantem que suas informações permanecem seguras. Aprenda a usar o PGP de maneira correta e ultra segura em um ambiente offline, onde você poderá criptografar e decriptar arquivos e mensagens sem a sombra de um ataque. Descubra este método avançado e proteja seus dados como nunca antes!

Método Errado de Usar PGP no Qubes

Instale o Kleopatra na appVM online que você usará para criptografar ou descriptografar mensagens e arquivos.

Digite sua senha PGP e tenha a chave privada na appVM online que você está utilizando.

Nessas duas situações, se ocorrer alguma invasão nessa appVM com certos privilégios, o atacante poderá roubar sua senha PGP e sua chave privada!

Depois disso, o atacante poderá descriptografar todos os arquivos e mensagens com sua chave PGP!

A maioria das pessoas usa o PGP com Kleopatra no Qubes dessa forma.

Riscos de Segurança em appVMs Online

Toda appVM que está online pode ser invadida ou ter uma backdoor em programas padrão.

Ataques de supply chain em repositórios, realizados por desenvolvedores traidores ou infiltrados, podem dar controle total da appVM ao atacante!

Zero Day e, principalmente, Zero Click: se você usa um software de mensagens na appVM, como Telegram, Signal, etc., e existe uma vulnerabilidade Zero Click nele, não haverá defesa; a invasão ocorrerá se você estiver utilizando o aplicativo. Portanto, é um suicídio ter suas chaves PGP e digitar sua senha PGP em qualquer máquina online!

A maioria das pessoas utiliza o pgp em PCs ou appVMs online, pois não têm opções com usabilidade para realizar tudo offline. No Qubes, isso é diferente devido à sua estrutura!

O Modo Certo de Usar PGP no Qubes em appVM Offline

Você precisa utilizar uma appVM que sempre ficará offline, onde os arquivos PGP ou mensagens serão descriptografados ou criptografados.

Ao criptografar, copie ou mova o arquivo para a appVM online usando os comandos copy to other vm! Se for uma mensagem, basta usar Ctrl + C, Ctrl + Shift + C, e na appVM alvo Ctrl + Shift + V e Ctrl + V!

Para descriptografar, transfira o arquivo da appVM online para a appVM offline usando copy to other vm e depois descriptografe tudo offline, com total isolamento! Se for uma mensagem, utilize Ctrl + C, Ctrl + Shift + C na appVM online e Ctrl + Shift + V e Ctrl + V na appVM offline!

Para conseguir essa condição, precisaremos:

• Template com Kleopatra instalado;
• appVM que ficará sempre offline utilizando o template que contém o Kleopatra;
• Importar ou gerar as chaves PGP na appVM offline;
• Iniciar o processo de criptografia e descriptografia 100% nessa appVM offline!

A seguir, você aprenderá o passo a passo para realizar tudo isso!

Criando Template Personalizado com Kleopatra

Clone o template principal do debian-12-xfce indo ao canto superior direito em Qube Domains e abra o Qube Manager.

Selecione debian-12-xfce, clique com o botão direito e selecione clone!

Dê um nome para identificar o template com Kleopatra; neste exemplo, vamos chamá-lo de debian-12-xfce-pgp.

Selecione debian-12-xfce-pgp e clique com o botão direito em Start/Resume.

Por padrão, os templates não possuem net qube e permanecem 100% offline por questões de segurança, mas você pode instalar programas por meio de uma VM intermediária. Utilize os comandos a seguir no terminal do template que criamos:

Acesse o terminal: vá ao canto superior direito, selecione Qube Domains, escolha debian-12-xfce-pgp e clique em Run Terminal!

sudo apt update
sudo apt upgrade
sudo apt install kleopatra

Agora, temos um template com o Kleopatra instalado!

Desligue o template!

Criando appVM Vault Offline para PGP com Kleopatra

O Qubes já vem com a appVM chamada Vault se a instalação for feita como padrão.

A Vault é uma appVM projetada para armazenar arquivos enquanto permanece 100% offline em suas configurações!

Caso não tenha a appVM Vault, crie uma seguindo os passos abaixo:

1. Vá ao canto superior direito em Qube Domains e abra o Qube Manager.
2. Clique em New Qube.
3. Nomeie a appVM como Vault.
4. Defina o Type como AppVM.
5. Escolha o Template como Debian-12-xfce-pgp.
6. Defina o Networking como None (para ficar offline).

Reinicie tanto a app quanto o template para que as alterações tenham efeito. Se necessário, reinicie o Qubes!

Adicione o atalho do Kleopatra na appVM Vault:

1. No canto superior esquerdo em Qube Domains, abra o Qubes Manager e selecione a appVM Vault.
2. Vá em Settings, selecione Applications, procure por Kleopatra e adicione.
3. Use Refresh Applications se necessário antes ou depois!

Agora você possui o atalho do Kleopatra acessando o canto superior esquerdo em Open Qubes Application Manager, selecionando Vault e, em seguida, Kleopatra!

Usando PGP 100% Offline na appVM Vault

Abra a appVM Vault pelo atalho que criamos no Open Qubes Application Manager, selecionando Vault e Kleopatra!

Para criar uma chave PGP ou importar uma usando o Kleopatra, caso não saiba, estude por este tutorial.

Agora, basta realizar o processo de criptografar mensagens ou arquivos 100% offline nessa appVM Vault usando o Kleopatra e enviá-los para outras appVMs online!

Você também pode descriptografar arquivos e mensagens usando o Kleopatra 100% offline na Vault, recebendo arquivos e mensagens criptografadas de outras appVMs online, mas sempre descriptografando tudo offline na Vault!

Dessa forma, você garante a segurança da sua senha e chave privada PGP, mesmo se alguma appVM online for comprometida a nível de superusuário!

No vídeo tutorial no início desta página, ensinamos com mais detalhes na prática como fazer isso! Não hesite em assistir!

Tutoriais avançados sobre Qubes OS: Clique aqui!

Qubes OS Espectro Proibido: Clique aqui!

Doar monero para ajudar no crescimento desse projeto: Clique aqui!