En el contexto actual, en el cual la información que se mueve por internet es tan importante como expropiable, fácil de espiar o de distorsionar, la criptografía es el recurso que muchos utilizan para esconder sus mensajes. Uno de los sistemas de criptografía más fuertes es PGP (Pretty Good Privacy), que mezcla dos modelos de criptografía: la de clave pública y la convencional, también llamadas asimétrica y simétrica. En este informe te contamos de qué se tratan estos modelos y cómo hace la aplicación PGP para fusionarlas y crear un modelo de criptografía híbrida que tiene ventajas para nuestra seguridad en todos los planos.
Qué es PGP
Creado en 1991, PGP es una aplicación informática que sirve para encriptar y desencriptar archivos y compartirlos a través de protocolos de seguridad que incorporan lo mejor de diferentes estilos de criptografía y hacen las comunicaciones más seguras y menos accesibles al criptoanálisis. Además, permite la certificación de los mensajes recibidos, sus receptores, sus destinatarios y la inviolabilidad de su contenido. Pero para entender cómo funciona PGP hay que comprender los conceptos que le dan vida, y por eso haremos un obligatorio repaso por los conceptos de criptografía y encriptación.
¿Qué es la criptografía y la encriptación?
Hay una historia muy utilizada a la hora de explicar los orígenes de la encriptación a quienes no están familiarizados con el concepto. Cuando Julio César quería enviarles mensajes a los altos mandos de sus ejércitos, no confiaba en los mensajeros de rango bajo y altamente corruptibles, por lo que reemplazaba cada A de su mensaje con un D, cada B por una E y así hasta la Z. Esta es la famosa regla de “reemplazar por 3”, y quien no la supiera no podía descifrar el mensaje. Como en ese momento no había Google, el mensaje llegaba con alta seguridad a sus receptores.
La criptografía responde al procedimiento matemático que se lleva a cabo para encriptar o desencriptar un mensaje cifrado. La encriptación es un sistema, primitivo —como el del ejemplo— o altamente complejo, para esconder el contenido original de un mensaje dentro de sí mismo, con el objetivo de enviar la información con mayor seguridad a través de, en el caso de la informática, redes de ordenadores y servidores. La encriptación tiene como primer paso un texto plano (puede ser cualquier otro formato), donde la información a esconder sea fácilmente accesible. Al utilizar alguno de los métodos de criptografía, el paso siguiente da como resultado un texto cifrado, que luego deberá ser, a través de criptografía también, desencriptado para volver a obtener el texto plano original.
Criptografía convencional
La criptografía convencional, también llamada criptografía de clave secreta o de clave simétrica, utiliza una misma clave tanto para la encriptación como para la desencriptación. Es el caso del ejemplo de Julio César, donde una misma regla (o clave) se utiliza para cifrar y descifrar el mensaje. Este sistema es el más rápido, pero tiene un problema fundamental: ¿Quién asegura que el intercambio de la clave única no será interceptado por un tercero?
Criptografía de clave pública
Nacida como concepto y técnica a mediados de los 70, la criptografía de llave o clave pública utiliza un conjunto de dos claves en vez de una, con lo que divide el proceso de encriptación y desencriptación y lo hace más complejo, más personalizado y más seguro. La idea es que cada usuario posee una clave pública única y personal, accesible por cualquier otro usuario, y también una clave privada que sólo él conoce. Entonces, el remitente debe encriptar su mensaje con la clave pública del receptor. Cuando el receptor recibe el mensaje cifrado con su clave pública, debe utilizar su clave privada para desencriptarlo. Es como si alguien nos enviara una caja fuerte con una cerradura para la cual sólo nosotros tenemos la llave.
Cómo funciona PGP
Pretty Good Privacy funciona básicamente a través de la fusión de los dos tipos de encriptación comentados anteriormente, por lo que se trata de un criptosistema híbrido. Cada vez que un usuario quiere enviar un mensaje cifrado, lo que hará con PGP es encriptar primero el —supongamos— texto plano. Para ello, PGP realiza una compresión del archivo que, como ya es de conocimiento popular entre los que utilizamos aplicaciones para comprimir archivos, ayudará a que estos ficheros tengan un peso menor y sean más transportables. Además, y como virtud extra, la compresión le dará más resistencia al encriptado, ya que los archivos se vuelven más complejos y resisten mucho más a eventuales técnicas de criptoanálisis (la búsqueda del tipo de cifrado que tiene un archivo encriptado).
El paso siguiente que se realiza en PGP es la creación de una Clave de Sesión, que viene a ser una clave secreta de uso único, válida sólo para ese proceso. Se trata de una cifra aleatoria generada por PGP en base al movimiento del ratón y a las teclas que presiones durante unos segundos. Al utilizarla sobre el texto plano comprimido, el archivo queda absolutamente cifrado, obteniendo lo que se denomina —y no traducimos por respeto al idioma— un ciphertext. El paquete se cierra y se cifra bajo la clave pública del usuario receptor. La alternativa que viene a exponer PGP en contraste con otros tipos de cifrado es que, además de la compresión, la clave se guarda DENTRO del paquete cifrado, por lo que tendríamos algo así como, siguiendo el ejemplo anterior, un cofre cerrado cuya llave está en su interior.
Desencriptar con PGP
Una vez que el archivo está por ponerse a disposición de su receptor original, la desencriptación se realiza cuando éste introduce su clave privada para acceder a la clave de sesión única. Esta será la clave con la que PGP desencriptará el resto del código. Desde este momento el archivo será totalmente legible.
Firmas digitales y web de confianza
Uno de los baluartes del sistema de PGP son las llamadas firmas digitales, que sirven para saber si el archivo original ha sido modificado por terceros o si quien dice ser su remitente es el original. Este sistema se ha visto mucho en acción para proteger la información en los mensajes internos que se utilizan en Wikileaks, pero igualmente no sé si tendría que estar desvelando esto, así que olvídenlo (sólo bromeo). Las firmas digitales también pueden crearse cada vez que se deseen a través del programa. Otro de los sistemas de verificación de origen es la llamada Web Trust o Web de confianza, que certifica que la clave pública esté asociada a un usuario o institución.
El programa
Dada su filosofía y la estructura de trabajo, la aplicación de PGP está disponible para todas las plataformas, desde MS-DOS, Atari y Amiga hasta Windows XP, Mac y Linux. El sistema, siempre dependiendo de en qué plataforma se lo utilice —y esta es la principal razón por la que lo presentamos primero, para hacer en otro momento un tutorial—, muestra una sencilla visualización de los menús y acciones para cifrar los archivos hasta con dos clics.
Para crear las claves se utiliza PGPkeys, que también las administra. Lo más complicado a veces es encontrar una forma de distribuir tu clave pública, pero en primera instancia tenemos dos variantes. La primera es a través de un servidor de claves (los más conocidos son los del MIT y el de PGP.com), y la segunda generando un fichero de texto para compartir. Para ambas hay que abrir PGPkeys y seleccionar tu par de claves. También tenemos PGPMail, que encripta y desencripta los mensajes entrantes o salientes. Otro componente de PGP es su PGPDisk, que encripta parte de un disco duro para evitar el acceso a la información en caso de robo o pérdida del disco.
¿Por qué deberíamos usar PGP?
La explicación sobre por qué deberías utilizar PGP —o en realidad cualquier tipo de encriptación segura— y por qué este debería convertirse en un estándar es algo que escribió el mismo autor del programa y del sistema, Phil Zimmerman, y por eso creemos que la mejor forma de iniciarte en el objetivo de este proyecto es contándotelo con sus propias palabras, que son, creemos, irremplazables:
”[PGP] es personal. Es privado. Y sólo a ti te importa. Puedes estar organizando una campaña electoral, hablar de tus impuestos, o teniendo una aventura. O puede que estés haciendo algo que piensas que no debería ser ilegal, pero lo es. Por todo esto, no quieres que tu correo electrónico (E-mail) privado o tu documentos confidenciales sean leídos por nadie más. No hay nada de malo en mantener tu privacidad. La privacidad es uno de los derechos que establece la Constitución. (…)La seguridad está en la cantidad de gente que lo hace. Análogamente, sería agradable que si cada uno de nosotros usáramos la encriptación en todos nuestros correos electrónicos, inocentes o no, nadie levantaría sospechas por mantener la privacidad de su correo electrónico encriptándolo. Piénsalo como una forma de solidaridad (…) PGP permite a la gente tener su privacidad en sus propias manos. Hay una creciente necesidad social de privacidad. Por eso lo escribí.”
La idea de este texto —como si faltase aclaración alguna— es básicamente esta: como un porcentaje inmenso de personas no encripta su correo, el porcentaje que sí lo hace pasa a ser automáticamente sospechoso, porque “por algo lo encriptan”. Si todos encriptamos, la tasa de sospecha se diluye por ser inabarcable.
- PGPI
- Sitio Oficial:
- Descarga:
