5.1 - Distribuir y obtener claves
5.2 - Cifrando y firmando mensajes
5.3 - Descifrando y verificando mensajes
5.4 - PGPtray + PGPtools: no hay barreras
5.5 - PGP y el Explorador de Windows
5.6 - Para ampliar conocimientos


Resumen Tras haber aprendido a configurar correctamente el programa, pasemos ahora a usar PGP. Se mostrarán las diversas formas en que se puede firmar, cifrar, verificar y descifrar: desde su programa de correo electrónico, el Explorador de Windows, e incluso desde cualquier ventana abierta, gracias a la funcionalidad de PGP en su aplicación PGPtray

5.1 - Distribuir y obtener claves

Lo prometido es deuda. Después de aprender algo sobre criptografía, analizar la ventana PGPkeys y configurar el programa, vamos a pasar a la práctica. Abra PGPkeys. Lo primero que vamos a hacer es un poco de limpieza. Habrá usted comprobado que aparecen un conjunto de claves públicas con dominio pgp.com o nai.com. Estas son claves de prueba que acompañan al programa. Puesto que no vamos a usarlas, bórrelas todas. En cuanto a la clave privada pepecripto@micasa.com que creó como prueba, puede borrarla también, aunque puede servirle todavía para hacer pruebas.

En segundo lugar, va usted a crear su propia clave. Ya hemos visto el procedimiento, así que no habrá dificultades. Escoja el menú Edit/New Key de PGPkeys y siga las instrucciones. Le recomiendo una clave tipo Diffie-Hellman de 2048 bits (o una RSA de la misma longitud) sin fecha de caducidad. De hecho, puede crear más de una, según sus necesidades. Puede que desee usar una clave distinta si es administrador de sistema, otra diferente para enviar mensajes por grupos de discusión (news) sin que nadie conozca su verdadera identidad ... a su gusto. Pero, en la mayoría de los casos, con una clave basta.

No obstante, una precaución. Hay todavía un buen número de usuarios que utilizan versiones de PGP anteriores a la 5.0. Dichas versiones NO admiten el uso de claves Diffie-Hellman. Así que considere la posibilidad de crear una clave RSA para tener en reserva por si hubiese usted de comunicarse con un usuario de la vieja guardia. También hay algunos sistemas de correo electrónico anónimo que usan claves PGP del tipo RSA solamente: por ejemplo, el programa Private Idaho o algunos repetidores anónimos (remailers).

Segundo paso: hacer que el mundo de los usuarios de PGP se entere de que usted existe. Para eso hay que diseminar su clave. Existen tres formas fundamentales de hacerlo. En primer lugar, puede exportar su clave (Keys/Export) y convertirla en un archivo .asc, para posteriormente publicarla en una página web, o bien entregarla en mano dentro de un disquete. En segundo lugar, puede enviarla por correo electrónico, sea como archivo adjunto (attachment), sea en el cuerpo del mensaje (copiar+pegar, por ejemplo). Como ejemplo de lo primero, puede usted echar un vistazo a mi página de claves http://www.cripto.es/claves.htm, o simplemente obtener mi clave habitual en la dirección http://www.cripto.es/aqscladh.asc.

La tercera modalidad, y en mi opinión la más cómoda y eficaz, es enviar la clave a un servidor de claves. Ya hemos hablado de los servidores, sí que me limitaré a recordar que son depósitos de claves públicas, y en "claves públicas" se incluyen todos sus añadidos: firmas, fotografías, nombres ID, etc. No es obligatorio enviar la clave a un servidor (aunque sí altamente recomendable), así que lo dejaré a su criterio y le indicaré en cualquier caso cómo se hace. Es sencillo. Vaya al menú Server/Sent to de PGPkeys y escoja el servidor al que quiere enviar su clave. En teoría no importa qué servidor elige, ya que todos se intercambian las claves que tienen; pero en la práctica puede que alguna clave se pierda (siempre hay fallos, incluso en los mejores sistemas), que tarde mucho o que el servidor sea de acceso lento.

Le recomiendo que use el servidor de RedIris, radicado en España. Si me hizo caso en capítulos anteriores, ya lo tendrá en el menú de opciones como servidor predeterminado (Edit/Options/Servers): http://pgp.rediris.es:11371. También puede conseguir una clave por medio del navegador, en la dirección http://www.rediris.es/cert/keyserver. En cualquier caso, ahora un internauta que quiera enviarle un mensaje cifrado no tendrá que enviarle a usted un mensaje pidiéndole su clave. Basta con que la busque en el servidor. Recuerde actualizar su clave cada cierto tiempo, ya que poco a poco irá usted acumulando firmas en su clave.

Ahora vamos a ponernos en el lugar del remitente. ¿Qué debe hacer usted si desea enviar un correo cifrado a otra persona? En primer lugar, obtener la clave de dicha persona. Si no es usuario de PGP, hemos acabado antes de empezar. Pero si lo es, y ha publicado su clave en un servidor, no hay más que usarlo. Para ello, use el menú Server/Search y preparémonos para buscar. Puede cambiar el servidor de claves para la búsqueda, o bien buscar en su propio archivo de claves (local keyring). Puede usar muchos criterios de búsqueda, pero los más útiles son los dos primeros: ID de usuario (es decir, el nombre y dirección email) e ID de clave.

Voy a servir yo mismo como conejillo de indias. Haga la búsqueda Key ID / is / 0x6B9AD6A9. Aparecerá una clave RSA de 1024 bits con nombre "Arturo Quirantes ". Es una clave vieja que ya no uso. De hecho está revocada: vea que aparece con letra cursiva. Otra prueba. Supongamos que usted conoce mi nombre, o parte de él. En ese caso lo mejor es una búsqueda por ID de usuario, en la forma: User ID / contains / Arturo Quirantes. Verá que ahora aparecen tres claves: la clave revocada que obtuvo anteriormente, y dos más. Esas son mis dos claves (una Diffie-Hellman, que uso en forma predeterminada, y una RSA). Si desea incluir alguna a su archivo de claves, no tiene más que darle a la opción Importar (Import).

También nos queda, por supuesto, la opción de pedir la clave a su dueño via correo electrónico. Esto puede hacerse cuando nos consta que usa PGP pero por el motivo que sea ha decidido no publicar su clave en un servidor ... o bien nosotros somos demasiado torpes para encontrarla.

5.2 - Cifrando y firmando mensajes


PGP fue diseñado originariamente como aplicación para correo electrónico, y ese sigue siendo su fuerte a pesar de todos los añadidos posteriores. Abra su programa de correo electrónico. Si éste es Eudora Light/Pro o Microsoft Exchange/Outlook/Outlook Express, verá que aparecen pequeños botones con iconos de candado o de llave. Son los complementos (plug-ins) que harán la labor más fácil.

Para cifrar/firmar un mensaje, no tiene más que escribirlo y, antes de enviarlo, pulsar los iconos correspondientes (Encrypt, Sign). De ese modo, PGP activará los pasos necesarios. Por un lado, le pedirá la contraseña para firmar. Por otro, cifrará el mensaje con la clave correspondiente. ¿Y cómo sabe PGP cuál es la clave pública con la que hay que cifrar? Sencillamente, examina el campo "Destinatario" del mensaje, y busca la clave cuyo ID de usuario contenga esa clave. Así, si compone usted un mensaje para pepe@cripto.com y su archivo de claves pubring.pkr contiene la clave Pepe Cripto , no tiene más que darle al botón "cifrar" de su programa de correo, y listo.

No obstante, a veces no es posible determinar la clave que ha de usarse. Puede que usted tenga dos claves de Pepe Cripto (Una RSA y una DH, por ejemplo), o tal vez haya usado usted un ID de usuario que no es el predeterminado (¿quizá el mensaje va dirigido a la antigua dirección de Pepe Cripto, pepecripto@micasa.com?). En tales casos, PGP reacciona como haríamos nosotros: ante la duda, pregunte. Desplegará una pantalla Encrypt Message to.... No hay más que escoger el (o los) ID de usuario que queramos usar (los cuales vendrán representados por iconos de sobre de color azul o amarillo, según sean claves RSA o DH) y llevarlos de la sub-ventana superior a la inferior (Recipients, o destinatarios). Si escogió usted la opción de cifrar siempre con clave predeterminada (PGPkeys, Edit\Options\General; ver capítulo anterior, apartado 2), su propia clave aparecerá ya en la sub-ventana Destinatarios. Puede usted cifrar usando varias claves -útil si va a enviar un mismo mensaje a varios destinatarios- sin más que mover más claves a la sub-ventana Destinatarios.

Pero antes de cifrar, sigamos examinando la ventana Encrypt Message to... (para hacer que aparezca a voluntad, no tiene más que intentar cifrar un e-mail dirigido a una dirección inexistente). Dicha ventana cuenta en su parte inferior con varias opciones interesantes. Si nuestro grado de paranoia es tal que tememos que los Hombres de Negro hayan aparcado una furgoneta Tempest para captar las emisiones de radiofrecuencia de nuestro monitor, el Visor Seguro (Secure Viewer). Esto consiste, sencillamente, en que el monitor usará un tipo de letra más difícil de captar por un receptor de radiofrecuencia. Como dije en otro capítulo anterior, sólo útil para ultraparanoicos.

En segundo lugar, puede que nuestro interlocutor no tenga clave pública. En ese caso podemos enviarle un mensaje cifrado mediante clave simétrica solamente, olvidándonos de todas esas zarandajas que hemos visto hasta ahora sobre criptografía de clave pública. Eso podemos hacerlo por medio de la opción Cifrado convencional (Conventional encryption). Al elegir esa opción, se generará una clave simétrica (clave de sesión), la cual irá a su vez cifrada mediante una contraseña que usted elegirá para la ocasión (NO introduzca la frase de contraseña que usa habitualmente para activar su clave pública, o ninguna que haya usado hasta ahora). Por supuesto, el éxito de esta opción dependerá de que el destinatario reciba copia de la contraseña, y eso ha de hacerse mediante canal seguro, o no habremos ganado nada en seguridad.

En tercer lugar, veamos una forma de extender las ventajas del cifrado a alguien que NO use PGP ni ningún otro tipo de cifrado. Incluso usando el cifrado convencional, el destinatario tendrá que tener una copia de PGP para descifrar el mensaje. ¿Pero y si no la tiene? Pues en ese caso hay una forma alternativa de descifrar el mensaje. Para eso, al cifrar, hay que usar la opción de Archivo Auto-Descifrable (Self-Decrypting Archive, o SDA). Al cifrar mediante las opciones Cifrado Convencional y SDA se creará un archivo ejecutable .exe. El destinatario no tendrá más que ejecutar dicho programa (desde una ventana de MS-DOS) e introducir la contraseña. Tenga presente que un archivo SDA es mucho más voluminoso que uno cifrado sin dicha opción, ya que deberá incluir información sobre el algoritmo de descifrado. La opción SDA no funciona cuando queremos cifrar y firmar simultáneamente.

ADVERTENCIA: Una buena parte de los virus y troyanos que se transmiten por la Red usan como vía de contagio el correo electrónico, a veces sin el conocimiento del propio remitente. Si recibe usted un archivo cifrado mediante la opción SDA, es buena política acostumbrarse a comprobar cada archivo recibido mediante un antivirus actualizado, incluso si el remitente es persona de su confianza.

Supongamos ahora que desea enviar un mensaje cifrado a un conjunto de destinatarios. Puede incluir varias direcciones de e-mail en el campo Destinatarios, y si PGP tiene las claves públicas de todos ellos procederá a cifrar con todas esas claves. Pero si esos destinatarios son siempre los mismos (un grupo de amigos, compañeros de trabajo, un foro de Internet) hay una opción que le servirá mejor y le simplificará la tarea: crear un grupo. En PGPkeys hay un menú Groups (Grupos). Active la opción New groups (grupo nuevo) y añada una dirección (address) y descripción (description). Ambos datos pueden ser, por ejemplo, algo del tipo "Conocidos del último congreso". Ya tiene el grupo nuevo. Para verlo, active la opción Show groups (Mostrar grupos). Y ahí está. En la ventana PGPkeys se ha creado una sub-ventana Grupos. Ahora, no hay más que añadir al grupo todos los miembros que queramos, sin más que arrastrarlos desde la ventana Keys, o bien echando mano del socorrido copiar+pegar.

Seguro que tiene usted ganas de ver el aspecto de un mensaje de correo electrónico firmado y cifrado, ¿verdad? Pues voy a darle el gusto inmediatamente. Voy a componer un texto, a firmarlo y a cifrarlo, en amgos casos con mi propia clave (Key ID:0x4E2031EC). La elección de colores es arbitraria, con fines didácticos; no es el color que aparecería necesariamente en un mensaje real.

Mensaje original:

5.3 - Descifrando y verificando mensajes

Para descifrar mensajes y/o verificar firmas, los programas de correo electrónico anteriormente mencionados nos lo ponen fácil. Verá iconos que permiten dicho descifrado (previa contraseña, por supuesto) y verificación. Cuando se da a la operación de verificación, aparecen varias líneas en el mensaje. La primera da el estado de la firma (PGP Signature Status): buena, inválida, mala o desconocida. Si el mensaje anterior fuese verificado, aparecería transformado como:

5.4 - PGPtray + PGPtools: no hay barreras

Si abre usted la carpeta "PGP" (disponible en la carpeta Programs), verá que PGPkeys está acompañado por otros dos programas: PGPtray y PGPtools. PGPtray es un programa que, al activarlo, queda residente en memoria dentro de la barra de tareas, en la que queda con el icono de un pequeño candado gris. Si lo pincha con el botón del ratón, verá diversas opciones. La de Salir (Exit) creo que no necesita explicación. Ayuda (Help) y Opciones (Options) abren, respectivamente, el archivo de ayuda y el menú de opciones que ya vimos en PGPkeys/Edit/Options. Otros dos iconos permiten activar los programas PGPkeys y PGPtools (de este último hablaremos muy pronto).

Ahora bien, lo interesante viene al pulsar en la opción Ventana actual (Current window). Aparecen entonces cuatro posibilidades: Descifrar+Verificar, Cifrar+Firmar, Firmar y Cifrar. A tenor de su nombre, ya puede usted imaginarse lo que hace esta opción. Efectivamente: ventana actual permite cifrar, firmar, descifrar y verificar en contenido de CUALQUIER VENTANA en la que se encuentre el cursor en ese momento. Puede ser otro programa de correo electrónico que no tenga plug-ins (o que lo tenga, da igual), una ventana de Word, de WordPerfect ...y, en general, de cualquier ventana. Dejo a su imaginación la variedad de posibilidades que ello conlleva. No solamente eso, sino que si desciframos/verificamos una ventana que contenga claves públicas, se podrán importar a nuestro "llavero" sin dificultades. La opción Portapapeles (Clipboard) permite hacer lo mismo con el contenido del portapapeles.

Estas opciones no funcionan siempre, pero sí en la mayoría de los casos que yo he visto. Ya puede entretenerse en probarlo con las ventanas que queráis. Pero antes, un aviso. Si activa usted PGPtools después de abrir la ventana, puede aparecerle un mensaje de error "PGP no pudo copiar el texto automáticamente de la ventana (PGP could not automatically copy the text from your window)" No se asuste, no pasa nada. Limítese a poner el cursor del ratón sobre la ventana e inténtelo de nuevo.

Y si PGPtray facilita el uso de PGP fuera del entorno de correo electrónico, PGPtools nos pone más a mano un par de herramientas para el uso con archivos. Abra PGPtools, por favor. Verá un conjunto de iconos, semejantes a los de paquetes de aplicaciones como Microsoft Office. El PRIMER ICONO representando un par de llaves, activa nuestro conocido PGPkeys. El SEGUNDO ICONO nos permite cifrar. La diferencia está en que ahora lo que podemos cifrar son archivos de cualquier tipo. No hay más que elegir el archivo a cifrar, y repetir los mismos pasos que cuando cifrábamos un mensaje de correo electrónico. Pero hay algunas opciones que antes no teníamos.

En primer lugar, no aparece el paranoico Visor Seguro, pero sí podemos hacer que el archivo descifrado tenga formato texto (texto output); es una opción útil a veces, aunque de momento no nos interesa. También podemos desear que tras el cifrado el archivo original "en claro" sea destruido. Para eso, nada mejor que la opción Sobreescribir original (Wipe original) Tenemos también la posibilidad de realizar un cifrado convencional (Conventional encryption), igual que cuando cifrábamos mensajes. Y volvemos a tener la opción Archivo Auto-Descifrable (SDA, Self-Decrypting Archive)

El TERCER ICONO permite firmar archivos. La diferencia estriba en que podemos incluir la firma digital en el cuerpo del archivo. Esto resulta a veces engorroso, y en la mayoría de los casos preferimos tener la firma digital en la firma de archivo separado. Ello se puede conseguir mediante la opción, que por lo general aconsejo, de Firma separada (detached output). Así, al firmar el archivo prueba.xyz, obtenemos un segundo archivo con nombre prueba.xyz.sig; ese archivo constituye la firma digital asociada al archivo prueba.xyz (que puede tener el formato que sea, ya que al fin y al cabo no es sino un conjunto de caracteres binarios).

El CUARTO ICONO simplemente combina las funciones de los otros dos (cifrar y firmar). El QUINTO ICONO nos permite verificar o descifrar. En el ejemplo anterior, usar el icono Decrypt/Verify sobre el archivo prueba.xyz.sig comprueba la firma del archivo prueba.xyz (si éste se halla en un directorio diferente, se le preguntará por su ubicación). Aparecerá entonces una ventana PGPlog donde se dará información sobre la clave usada para la firma, y sobre el resultado de la verificación. Si ésta ha sido positiva, aparecerá en la parte izquierda un icono en forma de lápiz. De lo contrario (si, por ejemplo, el archivo ha sido alterado), dicho lápiz vendrá cruzado por una línea roja, indicativo de que algo no va bien.

El SEXTO ICONO da cuenta de una opción muy útil: el borrado seguro (Wipe). Como ya vimos, borrar un archivo o enviarlo a la papelera de reciclaje simplemente ordena al sistema operativo que utilice ese espacio de disco duro cuando lo precise, pero no sobreescribe realmente ese espacio hasta que haga falta. La opción Wipe (machacar despiadadamente) permite borrar realmente un archivo, por el procedimiento de sobreescribirlo varias veces con un conjunto de caracteres adecuado (idealmente, patrones aleatorios). El número de pasadas es el que indicamos en su momento en la casilla correspondiente (PGPkeys/Edit/Options/General/File Wiping/Number of passes); si activamos la opción Avisar antes de sobreescribir (Warn before wiping), PGP tendrá la gentileza de avisarnos antes de machacar un archivo. Esta opción suena tonta, pero nos permite volvernos atrás, lo que es muy útil si hemos elegido el archivo equivocado.

En cuanto al último, el SÉPTIMO ICONO (Freespace Wiping), permite sobreescribir la información que pueda quedar en el espacio libre del disco duro. Según la ventana de instrucciones, también se incluye en este borrado seguro la eliminación de los archivos ya borrados, sus entradas en directorios e incluso el espacio residual que queda al final de un archivo [slack space].

5.5 - PGP y el Explorador de Windows

Una de las opciones más cómodas, a mi entender, de PGP es su fusión con el Explorador de Windows. Si abre usted dicho Explorador, y elige un archivo cualquiera, el botón derecho del ratón le abrirá un conjunto de opciones. Algunas son estándar, como las típicas Copiar, Cortar y Pegar, Abrir, Crear Acceso Directo, etc. Dependiendo de los programas que haya usted instalado, pueden aparecer otras opciones como Añadir a zip o Explorar en Busca de Virus. Y si miramos en la parte inferior del menú ... vaya, vaya, aparecen las siglas PGP.

En efecto: PGP permite cifrar, firmar y sobreescribir desde el Explorador de Windows. Esta es, en mi opinión, una opción muy útil cuando estamos interesados en el almacenamiento seguro de archivos. Poco tengo aquí que decir, salvo que haga usted sus pruebas ... pero tenga cuidado, no vaya a cifrar un archivo necesario para el sistema operativo. El uso de PGP+Explorador es una alternativa interesante al uso de PGPtools. Por supuesto, cada uno se organiza de la forma más cómoda.

5.6 - Para ampliar conocimientos

Si ha llegado usted hasta aquí sin perderse, enhorabuena. Significa que ya no me necesita. Pero puede que quiera aclarar conceptos, o repasar materia. En ese caso, le recomiendo que comience a leerse el manual de usuario, que aparece cuando se instala PGP. Probablemente pueda pasarse sin él, pero es bueno saber que existe. También se incluye una buena iniciación a la criptografía. Así que si le interesa el tema de la criptografía en general, es un buen punto de inicio (y, por cierto, también estoy preparando cursos sobre criptografía, ¿le interesa? ;-).

En cualquier caso, está ya más que preparado para usar PGP habitualmente. Descubrirá que, a fin de cuentas, se convierte en una opción más a la hora de componer un mensaje de correo electrónico. Cifrar es algo menos común, porque no todos los destinatarios de sus mensajes usarán PGP. Pero es muy fácil acostumbrarse a firmar. En cualquier caso, el curso puede acabar aquí.

Pero no lo haré todavía. Queda otro capítulo, una especie de miscelánea. En él se tratan diversos asuntos, como el tipo de "netiqueta" aconsejada, el futuro de PGP, el por qué hay o no que cifrar/firmar, cuántos usuarios de PGP somos... pequeñas pinceladas que contribuyen a mostrar el panorama actual relativo al programa de cifrado de datos más usado hoy día. Siga con nosotros un poco más. Seguro que lo encontrará interesante.