O Brasil é um dos maiores mercados do WhatsApp no mundo. Enquanto o PGP definiu, nos anos 1990, como cifrar uma mensagem para alguém sem antes combinar uma chave secreta, o brasileiro comum resolveu esse mesmo problema décadas depois de um jeito bem mais invisível: o WhatsApp troca chaves automaticamente nos bastidores usando o protocolo Signal, sem o usuário nunca precisar publicar ou verificar uma chave pública.
Um par de chaves: pública e privada
Ao contrário da criptografia simétrica (como o AES), onde uma única chave cifra e decifra os dados, o PGP usa um par de chaves matematicamente relacionadas. A chave pública pode circular livremente — qualquer pessoa a usa para cifrar uma mensagem destinada só a você — e apenas a chave privada correspondente, que nunca sai do seu dispositivo, consegue decifrá-la.
Por que o e-mail cifrado nunca pegou tanto quanto o app de mensagens
O ponto fraco prático do PGP é que ele exige que a pessoa publique sua chave pública e que a outra parte a verifique manualmente. O WhatsApp resolveu a mesma troca de chaves de forma automática e transparente, e por isso a criptografia ponta a ponta se tornou parte do cotidiano brasileiro sem que a maioria das pessoas soubesse o que é uma chave pública.
Assinatura digital: a mesma ideia ao contrário
Para assinar uma mensagem, o autor a hasheia e cifra esse hash com sua chave privada. Qualquer pessoa pode verificar a assinatura com a chave pública do autor — uma verificação bem-sucedida confirma que a mensagem foi mesmo criada pelo dono da chave privada e não foi alterada depois.
Para que serve, mesmo com apps de mensagens dominando
- Cifrar e-mails ou arquivos confidenciais para um destinatário sem trocar segredos previamente — algo que apps de mensagens não cobrem.
- Assinar releases de software ou commits para confirmar a autoria.
- Verificar a autenticidade de e-mails ou arquivos assinados vindos de fora.
Web of Trust em vez de um servidor central de um app
Apps de mensagens escondem a troca de chaves inteira atrás de servidores próprios. O PGP faz o oposto de propósito, com a "teia de confiança": os próprios usuários assinam as chaves públicas uns dos outros, confirmando que verificaram pessoalmente a quem cada chave pertence. A confiança numa chave desconhecida nasce de uma cadeia de assinaturas entre pessoas que você já confia, não de um servidor de uma única empresa.