1.Conceptos

1.1 Cifrado con LLave Publica

Los metodos clasicos de cifrado solo usan una llave para el cifrado. El remitente cifra el mensaje con esa llave. Para poder descifrarlo, el destinatario necesita tener esa misma llave. Esta llave se le debe dar al destinatario de forma que otras personas no puedan conseguirla. Si alguien consigue la llave, este metodo de cifrado es inutil.

El uso de las llamadas LLaves Publicas puede resolver este problema. La LLave Publica es un concepto que utiliza dos llaves. Una llave es una LLave Publica que se puede difundir a traves de cualquier medio y que puede ser conseguida por cualquiera. La otra llave es la LLave Privada. Esta llave es secreta y no puede ser difundida. Esta llave solo esta disponible para el propietario que la ha creado. Cuando el sistema esta bien implementado, la llave secreta no puede averiguar desde la llave publica. Ahora, el remitente cifrara el mensaje con la llave publica del destinatario. El descifrado se hara con la llave secreta del destinatario.

En este concepto, es crucial que la llave secreta permanezca secreta y no deberia darse o estar disponible para nadie, salvo el propietario de esta llave. NO ENVIE ESTA LLAVA POR INTERNET. También es muy aconsejable usar GnuPG con telnet (usted deberia considerar no usar nunca telnet debido a los altos riesgos de seguridadad).

1.2 Firmas Digitales

Con el fin de probar que un mensaje ha sido realmente enviado por su remitente, se invento el concepto de Firmas Digitales. Como el nombre dice, un mensaje es firmado digitalmente por el remitente. Con esta firma, usted puede comprobar la autenticidad de un mensaje. Usando esto se reducira el riesgo de "Caballos de Troya" (un mensaje que dice ser un parche para un cierto problema pero que realmente contiene un virus o hace algo perjudicial para los datos en su computador). Tambien se pueden verificar informaciones o datos como procedentes de una fuente legitima y, de esta forma, pueden ser considerados como verdaderos.

Una firma digital se hace a traves de una combinacion de la llave secreta y el texto. Usando la llave publica del remitente, se puede verificar el mensaje. No solo se podra comprobar si procede del remitente correcto sino tambien el texto enviado. Asi, usted sabe que el mensaje viene de su remitente y que no ha sido modificado durante el proceso de envio.

1.3 Red de Confianza

Un punto debil de los algoritmos tipo Llave Publica es la difusion de las llaves publicas. Un usuario podria poner en circulacion una llave publica con una falsa ID de usuario. Si se escriben mensajes con esta llave particular, el intruso puede descifrar y leer esos mensajes. Si el intruso pasa despues ese mensaje codificado con una llave publica genuina al destinatario real, este ataque pasaria desapercibido.

La solucion PGP (y por tanto la solucion GnuPG) estriba en firmar las llaves. Una llave publica puede ser firmada por otra persona. Esta firma asegura que la llave usada por el UID (Identificacion de Usuario) realmente pertenece a la persona que dice ser. Le corresponde entonces al usuario del GnuPG establecer en que medida confia en esa firma. Usted puede considerar una llave totalmente fiable cuando usted confia en el remitente de la llave y sabe con seguridad que la llave realmente pertenece a esa persona. Solo cuando usted confia en la llave del firmante, usted puede confiar en la firma. Para estar absolutamente seguros de que la llave es correcta, usted tiene que comparar la huella digital por medio de canales seguros antes de otorgar una certeza absoluta..

1.4 Limites de la Seguridad

Si usted tiene datos que le gustaria que permanecieran confidenciales, esto es algo mas que simplemente determinar que algoritmo de cifrado hay que usar. Usted deberia pensar en su sistema de seguridad en general. Basicamente, consideramos que el PGP es seguro y, cuando escribo este documento, no se conocen casos de ruptura del PGP. Pero eso no significa que todo su cifrado sea seguro (por ejemplo, la NSA no me notificaria si ellos han crakeado alguna vez el PGP, ni tampoco otras personas que lo hayan hecho por motivos maliciosos). Pero, aun en el caso de que el PGP sea totalmente "inhackeable", se pueden usar otros medios para atacar la seguridad. A primeros de Febrero de 1999, se habia encontrado un "Caballo de Troya" que buscaba llaves secretas PGP en el disco duro y las enviaba fuera por FTP. Si la password se ha escogido mal, la llave secreta se puede descifrar facilmente.

Otra posibilidad tecnica (aunque mas dificil) de ruptura PGP es un "Caballo de Troya" que copie las pulsaciones del teclado. Tambien es posible (pero muy dificil) copiar el contenido de una pantalla. En estos casos, no es necesario romper el codigo de mensajes cifrados. Por todos estos riesgos, se necesita tener un buen y bien pensado plan de seguridad que se ponga en practica..

No se trata de crear una paranoia entre la gente, sino mostrar que hay que hacer mucho para ser mas seguro. Lo mas importante es darse cuenta de que el cifrado es solo un paso de seguridad y no la solucion total. Los "Caballos de Troya" que aparecieron en 1999 en los virus "Melissa" demostraron que la mayoria de las empresas no estaban preparadas para esto.

Renuncia de responsabilidad: el original de este capitulo esta en GnuPG MiniHOWTO

Copyright © 1999 Brenno J.S.A.A.F. de Winter (version inglesa) Copyright © 1999 Michael Fischer v. Mollard (version original alemana) Copyright © 2002 Arjen Baart (version holandesa) Copyright © 2004 Baris Cicek (version turca)

Este documento es una documentacion libre y usted puede distribuirla y/o modificarla bajo los terminos de la GNU Library General Public License, tal como la publica la Free Software Foundation; tanto en su version 2 de Licencia o (en su opinion) cualquier version posterior.

Esta libreria se distribuye con la esperanza de que sera util, pero SIN NINGUNA GARANTIA; incluso sin la garantia implicita de COMERCIALIZACION o IDONEIDAD PARA UN PROPOSITO PARTICULAR. Vea la GNU Library General Public License para mas detalles.

Usted deberia haber recibido una copia de la GNU Library General Public License junto con esta libreria; si no la tiene, escriba a la Free Software Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA.