In Italia esiste dal 2008 un obbligo, per imprese e professionisti, di dotarsi di PEC (Posta Elettronica Certificata): un servizio che garantisce legalmente la prova dell'invio e della consegna di un'email tramite un gestore certificato. È spesso confusa con PGP, ma risolve un problema diverso — provare che un messaggio è stato spedito e recapitato, non cifrarne il contenuto o firmarlo crittograficamente.
Una coppia di chiavi: pubblica e privata
A differenza della crittografia simmetrica (come AES), dove una sola chiave cifra e decifra i dati, PGP usa una coppia di chiavi matematicamente collegate. La chiave pubblica può circolare liberamente — chiunque può usarla per cifrare un messaggio destinato solo a te — e solo la chiave privata corrispondente, che non lascia mai il tuo dispositivo, può decifrarlo.
PEC prova la consegna, PGP prova il contenuto
La PEC si affida a gestori accreditati che certificano l'intero percorso di un'email, come una raccomandata con ricevuta di ritorno digitale. PGP non si occupa del percorso: cifra il contenuto perché solo il destinatario possa leggerlo, e lo firma perché chiunque possa verificare chi lo ha scritto — due garanzie complementari, non equivalenti, a quelle della PEC.
La firma digitale: la stessa idea al contrario
Per firmare un messaggio, l'autore lo hasha e cifra quell'hash con la propria chiave privata. Chiunque può verificare la firma con la chiave pubblica dell'autore — una verifica riuscita conferma che il messaggio è stato davvero creato dal proprietario della chiave privata e non è stato alterato in seguito.
A cosa serve
- Cifrare messaggi riservati per un destinatario senza scambiare segreti in anticipo — cosa che la PEC non fa.
- Firmare release software o commit per confermare la paternità.
- Verificare l'autenticità di email o file firmati provenienti dall'esterno.
Web of Trust invece di un gestore accreditato
La PEC funziona perché un gestore accreditato dallo Stato garantisce l'intero processo. PGP fa l'opposto con la "rete di fiducia" (Web of Trust): gli utenti firmano da soli le chiavi pubbliche degli altri, confermando di aver verificato personalmente a chi appartiene ciascuna chiave. La fiducia in una chiave sconosciuta nasce da una catena di firme tra persone che già ci si fida, non da un gestore unico riconosciuto dallo Stato.