Cifrado de correo electrónico con PGP y GPG

Phil Zimmermann publicó Pretty Good Privacy en 1991, poniendo por primera vez un cifrado sólido al alcance de la gente común. El Gobierno de EE. UU. lo investigó inicialmente por exportar material bélico sin licencia, ya que el cifrado estaba clasificado como un arma. El caso se archivó en 1996 y PGP se convirtió en un hito de la tecnología de privacidad personal.

PGP utiliza criptografía asimétrica: usted genera un par de claves vinculadas matemáticamente. La clave pública puede compartirse libremente y otras personas la utilizan para cifrarle mensajes. La clave privada se mantiene en secreto y se utiliza para descifrar esos mensajes. Perder la clave privada implica perder el acceso a todos los datos cifrados.

Para enviar un correo electrónico cifrado a alguien, obtiene su clave pública y la utiliza para cifrar el mensaje. Solo quien posee la clave privada correspondiente puede descifrarlo y leerlo. En realidad, PGP utiliza cifrado híbrido: una clave de sesión aleatoria cifra el mensaje con un cifrado simétrico y, después, la propia clave de sesión se cifra con la clave pública del destinatario.

También puede firmar un mensaje mediante su clave privada. El destinatario verifica la firma con su clave pública, lo que confirma tanto que usted envió el mensaje como que su contenido no ha sido alterado. Firmar y cifrar son operaciones independientes que pueden combinarse: normalmente se firma y después se cifra, o se cifra y después se firma, según el modelo de amenazas.

PGP no depende de autoridades certificadoras. En su lugar, utiliza una red de confianza en la que las personas firman las claves públicas de otras para avalar su autenticidad. Si Alicia confía en Roberto y Roberto ha firmado la clave de Carolina, Alicia puede tener confianza indirecta en la clave de Carolina. El modelo funciona bien en comunidades técnicas, pero es difícil de poner en marcha para usuarios generales.

GNU Privacy Guard, conocido habitualmente como GPG o GnuPG, es una implementación libre y de código abierto del estándar OpenPGP. Se ejecuta en Linux, macOS y Windows, y proporciona tanto una interfaz de línea de comandos como una biblioteca para integrar funciones de PGP en aplicaciones. Actualmente, GPG es la herramienta de facto para las operaciones de OpenPGP.

Al ejecutar gpg --full-generate-key, se le guía por el proceso de selección del algoritmo, el tamaño de la clave y la fecha de caducidad. Ed25519 es la opción moderna para firmar y Curve25519, para cifrar. Debe establecer una frase de contraseña que proteja su clave privada en el disco. El proceso de generación recopila entropía de la actividad del sistema para garantizar la aleatoriedad.

Después de generar un par de claves, exporta su clave pública con gpg --armor --export your@email.com y comparte el bloque de texto resultante. Los destinatarios la importan con gpg --import. Puede publicar su clave pública en su sitio web, en su firma de correo electrónico o en un servidor de claves. No comparta nunca su archivo de clave privada.

Los servidores de claves, como keys.openpgp.org y keyserver.ubuntu.com, permiten publicar y encontrar claves públicas. Puede cargar su clave con gpg --keyserver keys.openpgp.org --send-keys YOURKEYID. El moderno keys.openpgp.org requiere verificar la dirección de correo electrónico antes de publicar la clave, lo que reduce el problema de que se carguen claves falsas para las direcciones de otras personas.

Para cifrar un archivo: gpg --encrypt --recipient recipient@email.com --armor file.txt produce file.txt.asc. Para descifrarlo: gpg --decrypt file.txt.asc. En el caso del correo electrónico, herramientas como Thunderbird, con la compatibilidad integrada con OpenPGP, o el complemento Enigmail integran GPG directamente en la ventana de composición del correo y gestionan de forma transparente la búsqueda de claves y el cifrado.

El cifrado PGP protege el cuerpo del mensaje, pero los campos Para, De, Asunto y fecha permanecen en texto sin formato. La gestión de claves es compleja: los usuarios deben encontrar, verificar y confiar en las claves de los destinatarios. Los servidores de correo no pueden buscar ni indexar los mensajes cifrados. Estas barreras de usabilidad han limitado la adopción de PGP fuera de las comunidades técnicas, a pesar de sus sólidas propiedades de seguridad.

Si desea enviar un correo electrónico cifrado a un colega mediante PGP, ¿qué clave utiliza para cifrar el mensaje?

PGP proporciona cifrado de extremo a extremo y firmas digitales para el correo electrónico mediante pares de claves públicas y privadas. GPG es la implementación libre y de código abierto. La red de confianza sustituye a las autoridades certificadoras centralizadas. Las claves públicas pueden compartirse en servidores de claves, mientras que las claves privadas deben protegerse con una frase de contraseña segura. La usabilidad sigue siendo el principal obstáculo para una adopción generalizada.