Etykieta PGP jest teraz też luźno używana dla implementacji kompatybilnych z OpenPGP. OpenPGP to interoperacyjny format wiadomości i kluczy zestandaryzowany przez Internet Engineering Task Force (IETF), ostatnio w RFC 9580.
OpenPGP powszechnie używa kryptografii hybrydowej: losowo wygenerowany klucz sesji szyfruje treść, a następnie metody klucza publicznego chronią ten klucz sesji dla odbiorców. Może też dołączać podpisy cyfrowe i informacje o kluczach. OpenPGP to format i rodzina protokołów, a nie jeden algorytm, aplikacja ani uniwersalny sposób decydowania, czy klucz należy do osoby.
Najważniejsze punkty
Cel ochronyWybieraj szyfrowanie, podpisywanie lub oba zgodnie z tym, czy wymagana jest poufność, uwierzytelnianie źródła, integralność lub kombinacja.
Tożsamość i zaufanieWeryfikuj odciski kluczy lub inne dowody wiązania przez odpowiedni kanał; posiadanie klucza lub ważnego podpisu nie ustala, że deklarowana tożsamość jest poprawna.
Cykl życia i interoperacyjnośćChroń klucze prywatne, planuj unieważnienie i wymianę, testuj możliwości odbiorców oraz ograniczaj starsze wersje, algorytmy i funkcje opcjonalne do udokumentowanego profilu.
Istotne ograniczenieOpenPGP nie chroni skompromitowanych punktów końcowych ani treści po tym, jak autoryzowany odbiorca ją odszyfruje. Routing wiadomości, uczestnicy, timing i część nagłówków mogą pozostać widoczne, a niepoprawna weryfikacja kluczy lub przestarzałe implementacje mogą pokonać zamierzone zapewnienie.