Linux 電子郵件加密完整指南：GPG、ProtonMail 與隱私防護實務

網路監控與資料洩露日益嚴重，電子郵件加密已成資安必修課。本文系統整理 Linux 下的郵件加密方案：從傳統 GPG 端到端加密、零知識郵件服務（ProtonMail），到客戶端選擇與流量匿名（Tor），助您建立完整的郵件隱私防線。

核心加密層級對照

為何放棄 Webmail？

• JavaScript 攻擊面：瀏覽器執行的 JS 程式碼可被惡意修改竊取明文。
• 服務商資料挖掘：Gmail、Yahoo、Outlook 掃描信件投放廣告、訓練 AI，不提供真正端到端加密。
• 第三方加密擴充（Virtru、SafeMess）：仍需信任服務商持有金鑰，非技術保證。

建議：改用本地郵件客戶端 + GPG，掌握私鑰控制權。

GPG 實戰：建立與使用金鑰對

1. 安裝與產生金鑰

sudo apt install gnupg2        # Debian/Ubuntu
sudo dnf install gnupg2        # Fedora/RHEL

gpg --full-generate-key
# 選擇 RSA/RSA、4096 bits、有效期（建議 2~3 年）、輸入真實姓名/信箱、設定強密碼

2. 匯出公鑰分享給通訊對象

gpg --armor --export your@email.com > publickey.asc

將 publickey.asc 發送給對方，或上傳至金鑰伺服器（keys.openpgp.org）。

3. 匯入對方公鑰並加密郵件

gpg --import their_publickey.asc
gpg --encrypt --sign --armor -r their@email.com -r your@email.com message.txt

產生 message.txt.asc，僅雙方可解密。

4. 解密收到的郵件

gpg --decrypt message.txt.asc

圖形化前端推薦

• Seahorse（GNOME / Ubuntu 預設）：金鑰管理、加密/解密檔案、整合 Nautilus 右鍵選單。
• KGpg（KDE）：功能對等的 KDE 前端。
• Thunderbird + Enigmail / 內建 OpenPGP：郵件客戶端整合加密，最適合日常使用。

進階隱私組合拳

1. TAILS Live 系統：預設走 Tor、內建 GPG/Thunderbird、關機自動清除痕跡，適合高風險場景。
2. 自架郵件伺服器 + DANE/DNSSEC：掌握郵件路由，配合 MTA-STS 強制 TLS。
3. Bitmessage / RetroShare：去中心化 P2P 郵件，避開中心化伺服器單點風險（適合技術團體內部）。

行動裝置注意事項

• Android：K-9 Mail + OpenKeychain 或 FairEmail（開源、支援 GPG）。
• iOS：Canary Mail、iPGMail 支援 PGP；但 iOS 沙箱限制較多，建議搭配 ProtonMail App。
• 安裝任何 App 前，務必檢查權限與隱私條款；單方面條款變更是常態，做最壞打算。

總結：分層防禦策略

郵件加密不是單一工具能解決，而是「金鑰管理 + 客戶端選擇 + 服務商信任度 + 網路匿名」的系統工程。從今天開始產生第一組 GPG 金鑰，逐步遷移重要通訊至加密管道，才是長久之計。