Está usando o OpenPGP para praticar mal em arquivos criptografados de longo prazo?

Question

Recentemente eu tenho brincado com o GnuPG usando um yubikey, e é muito bom, mas tenho algumas preocupações que gostaria de fazer.

O PGP parece ser voltado para e-mails e mensagens de curta duração. O padrão OpenPGP é estável o suficiente para que, se eu criptografar um arquivo usando o GnuPG, eu ainda possa descriptografá-lo de 5 a 10 anos a partir de agora?

Não estou perguntando sobre a força de longo prazo de qualquer algoritmo de criptografia que eu escolhi usar com o PGP, mas com a estabilidade da compatibilidade padrão e retroativa.

Em suma, o PGP é adequado para armazenamento de arquivos criptografados de longo prazo? ou isso é uma prática ruim?

Segundo, o PGP parece inchado e muitos metadados são adicionados aos arquivos. Existe uma maneira de usar as cifras brutas, como a AES / RSA, como você faria se fizesse a criptografia / assinatura, digamos PyCrypto

Como alguém vai mencioná-lo, conheço e uso o VeraCrypt, que também seria uma opção. Mas eu gosto da simplicidade do PGP para meu uso particular.

    

Answer 1

O PGP existe há 27 e poucos anos (desde 1991), tem sido extensivamente testado (inclusive por governos tentando quebrá-lo) e ainda funciona, bom. Você não pode prever o futuro, mas é uma aposta segura que vai estar por perto por mais 5 ou 10 anos, pelo menos. Parece uma boa prática.

A criptografia segura não é realmente um bom projeto DIY. Você pode encontrar as cifras de criptografia e tentar usá-las diretamente, mas há toneladas de erros não muito óbvios que podem reduzir drasticamente a segurança (como encontrar um bom número aleatório e uma chave para um deles). Mesmo enc do OpenSSL parece que não um trabalho muito bom (hash MD5 com contagem de iteração fixada em 1).