O CrypClip e o GnuPG implementam o mesmo padrão — OpenPGP — com as mesmas cifras. Uma mensagem criptografada em um é descriptografada no outro. Portanto a comparação não é sobre força criptográfica; é sobre gestão de chaves, superfície de ataque e quem vai estar do outro lado. O GnuPG é a ferramenta mais capaz, e para vários casos de uso é simplesmente a resposta certa.
Lado a lado
| CrypClip | GnuPG (CLI) | |
|---|---|---|
| Padrão | OpenPGP | OpenPGP |
| Cifra simétrica | AES-256 | AES-256 (configurável) |
| Instalação | Nenhuma | Necessária |
| Gestão de chaves | Nenhuma | Chaveiro completo, modelo de confiança, expiração |
| Assinatura / verificação | Não | Sim |
| O destinatário precisa configurar algo | Não | Geralmente sim |
| Funciona offline | Sim, depois de carregado | Sim |
| Código entregue a cada uso | Sim (ao carregar a página) | Não (instalado uma vez) |
| Automatizável por script | Não | Sim |
| Auditado | Usa o OpenPGP.js | Sim, amplamente |
Onde o GnuPG é simplesmente melhor
Identidade ao longo do tempo
O PGP foi projetado em torno de pares de chaves duradouros, assinaturas, expiração e um modelo de confiança. O GnuPG implementa tudo isso. O CrypClip não implementa nada disso — não há chaveiro, e nada persiste entre sessões. Se você gerencia interlocutores ao longo de anos em vez de enviar uma mensagem hoje, não há dúvida.
Autenticidade
A criptografia prova que só o destinatário pretendido consegue ler uma mensagem. Não diz nada sobre quem a escreveu. O GnuPG pode assinar, de modo que o destinatário verifique o remetente; o CrypClip não. Se uma mensagem forjada fosse tão danosa quanto uma interceptada, você precisa de assinatura.
Confiança na entrega do código
Essa é a diferença estrutural mais importante. O GnuPG é instalado uma vez e pode ser verificado uma vez. Uma ferramenta web entrega o código de novo a cada visita, então um servidor comprometido ou uma extensão de navegador maliciosa poderia, em princípio, servir código modificado. Esse risco é real e não existe no software instalado.
Automação
Scripts, pipelines, operações em lote, tokens de hardware. Tudo GnuPG, nada disso CrypClip.
Onde uma ferramenta de navegador ganha
O destinatário não tem GnuPG
Esse é o argumento inteiro, e ele pesa mais do que parece. A criptografia de chave pública exige que a outra parte tenha um par de chaves. A maioria das pessoas não tem, e pedir que instalem o GnuPG e gerem um para que você possa enviar uma senha hoje geralmente termina com a senha enviada em texto puro.
Uma ferramenta que os dois lados podem usar no navegador não compete com uma instalação de GnuPG bem administrada. Compete com enviar a coisa sem criptografia, que é a alternativa realista.
Nada a configurar, nada a errar
A flexibilidade do GnuPG também é fonte de configurações erradas. Há um longo histórico de pessoas usando-o ligeiramente errado. Uma ferramenta que faz uma única coisa tem menos maneiras de ser operada incorretamente.
Verificabilidade por inspeção
Você pode verificar as afirmações de uma ferramenta web em cerca de um minuto: abra a aba Rede e criptografe algo, ou deixe a página carregar, desconecte o cabo de rede e confirme que ainda funciona. O CrypClip é distribuído sem minificação para que o JavaScript entregue possa de fato ser lido. É um tipo de garantia diferente de uma versão assinada — mais fraca em alguns aspectos, mais imediata em outros.
Escolha pelo modelo de ameaça, não pelos recursos
A forma honesta de decidir é perguntar de quem você está protegendo a mensagem.
Um leitor passivo — o provedor de e-mail, a plataforma de chat, alguém com acesso a uma caixa compartilhada, um invasor que viole um serviço mais tarde. Uma ferramenta de navegador lida bem com isso. A mensagem é opaca para todos eles.
Um adversário que pode ter você como alvo — alguém capaz de comprometer um servidor web, servir JavaScript modificado ou chegar ao seu dispositivo. Aqui a entrega a cada uso importa, e software instalado e verificado é a base melhor. Use o GnuPG.
A maioria das pessoas, na maior parte do tempo, está no primeiro caso. Algumas estão de fato no segundo, e não deveriam ser convencidas do contrário por uma tabela comparativa.
Eles interoperam, então não é um ou outro
Como ambos falam OpenPGP, você pode criptografar no CrypClip e descriptografar no GnuPG, ou o inverso. Se já tem um par de chaves, pode colar a chave pública do seu interlocutor nas Opções avançadas do CrypClip e criptografar diretamente para ela — sem senha compartilhada.
Testar essa ida e volta com o GnuPG é também a forma mais convincente de confirmar que o CrypClip faz OpenPGP de verdade, e não algo caseiro. Recomendamos: como verificar você mesmo.