Panduan PGP untuk mengirim laporan terenkripsi

Pakai PGP bila laporan memuat data sensitif, misalnya log berisi data pribadi, kredensial yang bocor, atau detail kerentanan yang belum ditambal. Email dan lampiran yang dienkripsi dengan kunci publik KUTIM-CSIRT hanya bisa dibuka dengan kunci privat KUTIM-CSIRT.

Data kunci

Cocokkan fingerprint lewat dua kanal

Kunci publik bisa dipalsukan bila hanya diambil dari satu tempat. Sebelum memakai kunci, cocokkan fingerprint yang tampil di perangkat Anda dengan dua sumber:

1. Halaman RFC 2350 di situs ini, butir 2.8 Kunci Publik dan Enkripsi.
2. Dokumen PDF RFC 2350 KUTIM-CSIRT yang dapat diunduh dari halaman yang sama.

Ke-40 karakter heksadesimal harus sama persis. Kalau ada satu karakter yang berbeda, jangan pakai kunci itu dan hubungi KUTIM-CSIRT lewat telepon (0549) 2021207 pada Senin–Jumat 08.00–16.00 WITA.

Unduh kunci

Unduh berkas .asc lewat browser dari tautan di tabel atau dari halaman RFC 2350. Situs ini memakai halaman pemeriksaan koneksi, sehingga unduhan langsung dengan curl atau wget bisa menghasilkan halaman HTML alih-alih berkas kunci. Kunci yang sama juga terdaftar di keyserver keys.openpgp.org dengan alamat email yang sudah terverifikasi. Dari sumber mana pun kunci diambil, fingerprint tetap harus dicocokkan.

Windows: Gpg4win dan Kleopatra

1. Unduh dan pasang Gpg4win dari gpg4win.org. Kleopatra ikut terpasang.
2. Buka Kleopatra, pilih File > Import, lalu pilih berkas csirt-kutim-publickey-new.asc.
3. Klik dua kali sertifikat CSIRT di daftar dan bandingkan nilai Fingerprint dengan dua sumber di atas.
4. Bila cocok, Anda dapat klik kanan sertifikat lalu pilih Certify agar Kleopatra menandainya terverifikasi. Langkah ini membutuhkan pasangan kunci milik Anda sendiri (File > New OpenPGP Key Pair).
5. Untuk mengenkripsi berkas, pilih File > Sign/Encrypt, pilih berkasnya, centang Encrypt for others, lalu pilih csirt@kutaitimurkab.go.id. Kleopatra membuat berkas baru berakhiran .gpg atau .asc.
6. Untuk teks, pakai Notepad di Kleopatra: tulis pesan, pilih penerima, klik Sign/Encrypt Notepad, lalu salin hasilnya ke badan email.
7. Kirim berkas atau teks terenkripsi itu lewat email biasa ke csirt@kutaitimurkab.go.id.

Thunderbird (OpenPGP bawaan)

1. Thunderbird versi 78 ke atas sudah memuat OpenPGP tanpa add-on. Unduh dari thunderbird.net bila belum terpasang.
2. Buka Tools > OpenPGP Key Manager, pilih File > Import Public Key(s) From File, lalu pilih berkas .asc.
3. Buka properti kunci CSIRT, cocokkan fingerprint-nya, lalu pada bagian penerimaan kunci pilih Yes, I've verified in person this key has the correct fingerprint.
4. Thunderbird hanya bisa mengenkripsi bila akun email Anda punya kunci pribadi. Buat atau impor lewat Account Settings > End-To-End Encryption > Add Key.
5. Saat menulis email ke csirt@kutaitimurkab.go.id, aktifkan Encrypt di tombol OpenPGP pada jendela tulis email. Lampiran ikut dienkripsi.

Linux dan macOS: gpg

Di Linux, paket gnupg umumnya sudah terpasang. Di macOS, pasang GnuPG lewat Homebrew (brew install gnupg) atau paket GPG Suite.

# Impor kunci dari berkas yang diunduh lewat browser
gpg --import csirt-kutim-publickey-new.asc

# Atau ambil dari keyserver memakai fingerprint lengkap
gpg --keyserver hkps://keys.openpgp.org --recv-keys 3B0664B516FB69D71BB3528657DEB6B955E94D52

# Tampilkan fingerprint, lalu cocokkan dengan dua sumber di atas
gpg --fingerprint csirt@kutaitimurkab.go.id

Keluaran yang benar:

pub   rsa4096 2024-11-05 [SC] [expires: 2027-11-05]
      3B06 64B5 16FB 69D7 1BB3  5286 57DE B6B9 55E9 4D52
uid           [ unknown] CSIRT <csirt@kutaitimurkab.go.id>
sub   rsa4096 2024-11-05 [E] [expires: 2027-11-05]

# Bila cocok, tandai kunci sebagai terverifikasi (tanda tangan lokal, tidak dipublikasikan;
# membutuhkan kunci pribadi Anda sendiri)
gpg --lsign-key 3B0664B516FB69D71BB3528657DEB6B955E94D52

# Enkripsi berkas; hasilnya laporan.pdf.asc
gpg --encrypt --armor -r csirt@kutaitimurkab.go.id laporan.pdf

# Tambahkan diri sendiri sebagai penerima agar Anda tetap bisa membuka salinannya
gpg --encrypt --armor -r csirt@kutaitimurkab.go.id -r nama@example.com laporan.pdf

Tanpa --lsign-key, gpg akan bertanya Use this key anyway? saat mengenkripsi. Jawab y hanya bila fingerprint sudah cocok. Lampirkan berkas laporan.pdf.asc ke email ke csirt@kutaitimurkab.go.id.

Kalau ingin balasan terenkripsi

Balasan hanya bisa dienkripsi bila KUTIM-CSIRT memegang kunci publik Anda. Lampirkan kunci publik Anda di email pertama:

gpg --export --armor nama@example.com > kunci-publik-saya.asc

Di Kleopatra, pakai Export pada sertifikat Anda. Di Thunderbird, pakai opsi Attach My Public Key di jendela tulis email. Tanpa kunci publik Anda, balasan tidak bisa dienkripsi.

Catatan

• Baris subjek email tidak selalu ikut dienkripsi. Tulis subjek umum, misalnya "Laporan insiden".
• Formulir /lapor hanya menerima lampiran gambar dan PDF. Kirim berkas .asc atau .gpg lewat email; Anda tetap bisa mengisi /lapor untuk mendapatkan nomor tiket dan menyebut di uraian bahwa bukti dikirim terenkripsi lewat email.
• Kunci ini berlaku hingga 5 November 2027. Sesudah itu, ambil kunci terbaru dari halaman RFC 2350 dan cocokkan ulang fingerprint-nya.
• Jangan pernah mengirim kunci privat atau password Anda, terenkripsi maupun tidak.