Éste es el primer tutorial de una serie en la que estaré enfocándome en la encriptación de tu correo electrónico. En éste tutorial, presentaré los conceptos generales de encriptación y como pueden usarse para asegurar y verificar tus correos electrónicos. En el segundo tutorial, te guiaré para instalar el software de encriptación en tu computadora y comenzar a enviar tus primeros mensajes.
También exploraremos la encriptación de correo electrónico que funcionan desde el navegador y fortalecer el "anillo de confianza", y luego cambiaremos tópicos un poco para encriptar tus actividades de internet con el uso de una VPN. Finalmente, como parte de la serie sobre el manejo de tus recursos digitales después de tu muerte, usaremos lo que hemos aprendido para crear un cache seguro de información importante para tus descendientes en caso de emergencia.
Comenzar con la Encriptación
En ésta serie, me referiré reiteradamente a un gran recurso creado por la Electronic Frontier Foundation (EFF) llamado The Surveillance Self-Defense (La Guía de Autoprotección Digital contra la Vigilancia). También podrías querer leer uno de sus textos explicatorios, Una introducción a la Criptografía de Clave Pública y PGP, que es paralela a éste tutorial particular. He tratado de crear éste tutorial un poco más simple de leer.
Francamente, la arquitectura de nuestro sistema de correo electrónico global no esta creado para la privacidad o autenticación. De hecho, argumentaría que está fundamentalmente rota por lo que necesitamos restructurar para la era de las comunicaciones digitales modernas. Hasta entonces, la mejor forma de proteger nuestra privacidad y autenticar nuestras comunicaciones en Pretty Good Privacy (Muy Buena Privacidad), también conocida como PGP.
Activista y experto en tecnología Phil Zimmerman inventó PGP en 1991. El gobierno de EUA lo persiguió por su trabajo, y vale la pena leer sobre su trabajo y la historia.
En éste tutorial, voy a explicar las bases de PGP y como puedes usarlo para asegurar la confidencialidad de tus comunicaciones en una sociedad bajo vigilancia y también como autenticar la identidad de personas con las que te comunicas.
Ten en mente, que sí participo en las discusiones de la parte inferior de la página. Si tienes una pregunta o sugerencia de algún tópico, por favor envía un comentario en la sección de abajo. También puedes seguirme en Twitter @reifman o contactarme directamente por correo electrónico.
¿Qué es Pretty Good Privacy (PGP)?
Un Sistema de Encriptación con Claves Asociadas
PGP es un sistema de encriptación que opera con un par de claves que operan simétricamente. Un par de claves se refiere a una clave privada y una clave pública. Las personas deben mantener segura y a salvo su clave privada en todo momento, no compartirla con nadie. Sin embargo, pueden compartir su clave pública en intercambios de clave pública con buena reputación y en persona.
Típicamente, usuarios PGP instalan alguna clase de software de encriptación de código abierto o comercial compatible con el estándar OpenPGP. GnuPG es una implementación común de OpenPGP. Algunas de las imágenes que estoy usando en el tutorial son de la infografía de GnuPG Email Self Defense de Free Software Foundation.
Enviar un Mensaje Encriptado
Puedes usar tu software PGP para enviar mensajes encriptados. Tu software encriptará el mensaje a enviar con la clave pública de tu destinatario.
El mensaje mismo será rechazado a través de la internet como un lenguaje sin sentido, indecifrable para cualquiera sin la clave privada del destinatario.
Cualquier autoridad de vigilancia que intercepte el mensaje no podrá decifrar su contenido.
Cuando tu destilnatario recibe el mensaje con un lenguaje sin sentido, usarán su software PGP, con su clave privada y su clave pública para descifrar el mensaje.
Una Cosas Muy Importantes
Protege Tu Clave Privada con una Contraseña
Si permites que tu clave privada caiga en manos equivocadas, entonces otras personas podrán suplantar tu identidad y enviar mensajes encriptados a tu nombre. También podrán leer mensajes confidenciales enviados a tí con encriptación.
Tu clave privada podrá ser robada sin que te des cuenta. Por ejemplo, si malware es colocado en tu computadora, delincuentes o espías del gobierno podrían obtenerla ilícitamente. Nunca lo sabrías.
Es muy importante proteger tu clave privada con una contraseña increíblemente fuerte. Cuando Edward Snowden escribe su contraseña bajo una sábana en Citizenfour, él está protegiendo la contraseña de su clave privada de un probable cámara de vigilancia.
Si tu clave privada, quizá guardada en una laptop o una memoria, es robada, tu contraseña impedirá que los perpetradores puedan acceder a ella. Pero eventualmente, podrán acceder a ella.
Notifica a Otros si tu Clave Privada está Comprometida
Si alguna vez descubres que tu clave privada ha sido comprometida, pluedes notificar a otros para preservar el anillo de confianza, que discutiremos más adelante.
PGP No Oculta a Quien Conoces
PGP no encriptará la línea del Asunto o Para: línea de dirección de mensajes encripados, a veces llamada el sobre del mensaje. Por lo tanto, PGP no ocultará a quien conozcas a menos que tengas una forma para intercambiar claves públicas anónimas con personas que usan direcciones de correo electrónico anónimas que sólo accesan a su correo electrónico usando Tor para disfrazar su dirección IP.
¿Qué es una Firma Digital?
Digital Signatures (Firmas Digitales) pueden autenticar que un mensaje fe enviado por la personas que tiene la clave privada del remitente y verificar que el mensaje no ha sido falsificado.
Típicamente, ésto se hace al generar un algoritmo de autenticación criptográfico del mensaje original y luego encriptar el algoritmo con la clave privada del remitente (lo contrario de lo que se hace para encriptar el cuerpo del mensaje. Ésto se llama firmar el mensaje. La imagen de abajo de es deWikipedia.
Incluso cambios de minuto al mensaje radicalmente alteran el algoritmo de autenticación.
Cuando el destinatario recibe el mensaje, ellos descifran el algoritmo de autenticación con la clave pública del remitente y verifican el resultado. Si el control es correcto, prueba que la persona que tiene la clave privada del remitente envió el mensaje. Si el control es incorrecto, entonces el mensaje ha sido falsificado-o no fue enviado por el presunto remitente.
¿Qué es el Anillo de Confianza?
Tu capacidad para confiar en PGP recae en la fiabilidad de la clave pública que recibiste del remitente. Por ejemplo, si mandé un correo electrónico para mi clave pública-y la NSA interceptó el mensaje y lo remplazó con su clave pública-pudieran comenzar a mandarte mensajes encriptados que creerías que son míos. O, si has estado intercambiando mensajes encriptados con tus amigos y su clave privada ha sido comprometida, otras personas pudieran estar leyendo tus mensajes privados.
Ésto pudiera ser muy significativo si eres un espía o un activista.
Si lees sobre PGP, verás mencionadas las "fiestas de firmado de claves" (probablemente organizadas por Jake Applebaum). Probablemente nunca serás invitado a una. (De hecho me he reunido con Jake un par de veces pero no soy lo suficientemente agradable para ser invitado a sus fiestas de firmado de claves.)
La mayoría de nosotros utiliza servidores de claves para intercambiar nuestras claves. Los usuarios en que confiamos pueden firmar digitalmente las claves públicas de otras personas a las que queremos mandar mensajes, y ésto nos permite tener alguna certeza de la validez de claves públicas específicas.
Al final, la única forma de estar seguro que tienes la clave pública verdadera de alguien es intercambiarla con ellos en persona.
Sin embargo, hay algunos nuevos servicios interesantes que están tratando de mejorar la web de confianza, que revisaré en próximos episodios.
¿Qué sigue?
Espero que te sientas inspirado para asegurar tu correo electrónico. En el próximo tutorial, te guiaré por la instalación de software de encriptación en tu computadora, crear tu primer par de claves, y comenzar a enviar tus primeros mensajes seguros.
Por favor con toda confianza envía tus preguntas y comentarios abajo. También puedes contactarme en Twitter @reifman o directamente por correo electrónico. Puedes encontrar mis otros tutoriales navegando en mi página de instructor en Tuts+.
Jeff Reifman is a experienced technology consultant, former Microsoft Group Program Manager, writer, activist and yogi. He's the founder of Meeting Planner and author of the Envato Tuts+ series, Building Your Startup. He enjoys travel, photography and snowboarding in his free time.
