Download
Online Shop
Red Hat Network
|
|
|
Download
Online Shop
Red Hat Network
|
|
|
||
|
||
|
|
| Red Hat Documentation |
 |
Capítulo 13. Iniciándose con GnuPGPresentando GnuPGAl preguntarse si el correo está libre de espias, es fácil pensar que el destinatario leerá el correo pero también es asumible pensar que el correo puede ser interceptado y modificado por extraños. En "correo postal" tradicional, se cierra el sobre, se franque y se envía desde la oficina de correos desde donde va a su destino. Pero enviar correo vía Internet no es tan seguro; el correo electrónico se transmite como texto de servidor en en servidor. No se procede a proteger la correspondencia de ojos ávidos o comportamientos maliciosos. Para proteger la privacidad, Red Hat Linux 6.2 incorpora GnuPG, GNU Privacy Guard, que se instala por defecto en Red Hat Linux. GnuPG es una herramienta para comunicaciones seguras; es un sustituto completo y libre para la tecnología de encriptación PGP (Pretty Good Privacy, aplicación muy popular de encriptación). Con GnuPG, se puede encriptar datos y correspondencia, y autenticar el correo al firmarlo digitalmente. GnuPG también es capaz de desencriptar y verificar PGP 5.x. Al ser GnuPG compatible con otros estándares de encriptación, la correspondencia segura será, probablemente, compatible con tecnologías de otras plataformas, como Windows y MacOS. GnuPG utiliza criptrografía de clave pública para proporcionar intercambio seguro de datos. En un esqueme de clave pública, se generan dos claves: una clave pública y una clave privada. Se intercambia la pública con otros o un servidor de claves; nunca debe revelarse la clave privada. La encriptación depende del uso de claves (véanse como anillos codificadores/decodificadores en formato de datos). En criptografía convencional o simétrica, en ámbos extremos se usa la misma clave, que se usa para decodificar. En criptografía de clave pública, coexisten dos claves: una pública y otra privada. Una persona u organización mantiene su clave privada en secreto, y publica la clave pública. Los datos codificados con la clave pública sólo pueden ser decodificados con la clave privada; los datos codificados con la clave privada sólo pueden ser decodificados con la clave pública.
La criptografía está fuera del alcance de este documento; hay otros libros para aprender sobre ella. En este capítulo, sin embargo, se tratará de que se comprenda lo suficiente GnuPG para empezar a usar criptografía en el correo. Para saber más sobre GnuPG, incluyendo una guía online, visítese http://www.gnupg.org/. Si se quiere aprender más sobre GPG, PGP y tecnología de encriptación, váyase a las referencias de la sección de nombre Más información. Hay varios interfaces gráficos para GnuPG, como SeaHorse, incluído con Red Hat Linux 7.0. Sin embargo, muchas tareas de GnuPG se ejecutan rápidamente desde la shell. Ese es el objetivo del capítulo. Generando una pareja de ClavesPara empezar a usar GnuPG, debe primero generarse una nueva pareja de claves -- eso es, clave pública y privada. Aunque ya se ha visto como se genera una pareja de claves (véase la sección de nombre Generar un nueva keypair en Capítulo 12), aquí hay un rápido resumen de los pasos necesarios. Para generar una pareja de claves, ábrase un Xterm (o terminal) y, en la shell, teclear
Se deberá escoger entre algunas opciones, como que tipo de clave se quiere crear y la longitud de la clave. Hay opciones por defecto disponibles, que se pueden escoger pulsando simplemente Enter. A menos que se tenga una razón para no hacerlo, lo mejor es escoger las opciones por defecto. Introduzcase un ID, con el nombre, dirección de correo y un comentario, opcional. Luego, una fraseseña que, como la contraseña de las cuentas, debe ser única y asegurar que nadie podrá averiguarla. Una fraseseña puede ser una palabra única o una frase que se teclea al ser pedida y que identifica al dueño de la pareja de claves. Por supuesto, lo que se escoja, hay que asegurarse de que se recordará
Tras crear la clave pública y la privada, estas estarán en el directorio .gnupg. Para ver las claves, tecléese gpg --list-keys. Se verá la nueva clave, con un aspecto como este:
Generar un Certificado de RevocaciónUna vez creada la pareja de claves, hay que crear un certificado de revocación para la clave pública. Si se olvida la fraseseña, o si es descubierta, se puede publicar este certificado para informar que la clave pública no debe ser usada.
La firma será válida para otros que leen el correo hasta que la clave sea revocada, y se podrá desencriptar mensajes recibidos antes de la revocación. Para generar el certificado de recovación, úsese la opción --gen-revoke.
Nótese que si se omite --output revoke.asc en el ejemplo, el certificado de revocación saldrá por la "salida estándar," que suele ser la pantalla. Aunque se puede copiar y pegar el contenido a un archivo utilizando un editor de texto, como Pico, es seguro más fácil enviar la salida a un archivo del directorio de login. Así, se tiene el certificado a mano para su uso, o ponerlo en un disquette y guardarlo en algún lugar seguro. La transacción para crear un certificado es como sigue:
Una vez creado el certificado de revocación (revoke.asc), se pondrá en el directorio de login. Hay que asegurarse de el archivo está a salvo, así que lo mejor es copiarlo a un disquette y guardarlo en un lugar seguro. (Si no se sabe como copiar a un disquette en Red Hat Linux, véase la sección de nombre Uso de Disquetes en Capítulo 17.) Exportar la clave públicaAntes de usar la criptografía de clave pública, los demás deben tener una copia de la clave pública. Para enviar la clave a otros, o a un servidor de contraseñas, hay que exportar la clave. Para exportar la clave, de forma que se pueda ver en una página de web o enviar por correo, tecléese:
No se verá nada, porque no sólo se exporto la clave, se redireccionó a un archivo llamado, por ejemplo, mykey.asc. (Sin poner > mykey.asc, la clave habría sido mostrada en la salida estándar -- en la pantalla del monitor.) Ahora, el archivo mykey.asc puede ser puesto en el correo o exportado a un servidor de claves. Para ver la clave, tecléese less mykey.asc para ver el archivo (pulsar Q para salir). Debería parecer algo como lo siguiente:
Exportar a un servidor de clavesSi se escribe con poca gente, se puede exportar la clave y enviarsela personalmente. Si son muchos, sin embargo, la distribución de la clave puede llevar tiempo. Es cuando los servidores de claves son útiles. Un servidor de claves es un repositorio en Internet que almacena y distribuye claves públicas a quienes las piden. Hay muchos servidores disponibles, tratando de mantenerse sincronizados entre ellos; enviar la clave a un servidor es como enviarla a todos. Todo lo que tiene que hacer uno, es pedir la clave a un servidor, importar la clave a su keyring, y ya está (un keyring es un archivo donde se mantienen claves públicas y privadas).
Se puede enviar la clave pública desde la shell o desde un navegador (como es Figura 13-1); por supuesto, hay que estar conectado a Internet para enviar o recibir claves de/al servidor.
Nótese que si se transmite la clave a otro servidor vía web, la transacción será básicamente la misma. Así es. Ya se use la shell o la web, se verá un mensaje de que la clave se transmitió con éxito -- desde la Xterm o en el portal. Ahora, los que quieran comunicarse pueden importar la clave pública y añadirla a su keyring. Importar una clave públicaTambién hay que importar la clave de otros que es tan sencillo como importarla. Cuando se importa la clave pública de alguien, se puede desencriptar su correo y comprobar su firma digital con la del keyring. Una de las formas más fáciles de importar la clave es bajar la clave desde un portal (como al guardar la clave de Red Hat, por ejemplo, en la sección de nombre Importar llaves en Capítulo 12). Tras descargar una clave, úsese el comando --import para adjuntarla al keyring. Otro metodo de guardar una clave es usar es utilizar la característica Save As del navegador. Si se usa Navigator, y se localiza una clave en un servidor, se puede guardar la página como texto (váyase a File => Save As). En la lista desplegable junto a Format for saved document, escoja Text. Así, se puede importar -- siempre que se recuerde el nombre con el se guardó. Por ejemplo, digamos que se acaba de guardar una clave como un archivo de texto, llamado newkey.txt. Para importar el archivo, teclear desde la shell:
Para comprobar que todo ha salido bien, úsese --list-keys desde la shell, como en gpg --list-keys; debería verse la clave importada en el listado del keyring. Firmas digitalesLas firmas digitales son como las firmas -- o sellos -- se pueden poner en un documento como el correo. A diferencia del correo tradicional, en que es posible alterar la firma escrita, las firmas digitales no pueden ser modificadas. Es así porque la firma se ha creado con una única clave secreta, y puede ser verificada por el receptor utilizando la clave pública. Una firma digital poner marca temporal a un documento; en esencia, eso implica que la hora a la que se firmó el documento se vuelve parte de la firma. Así que si alguien trata de modificar el documento, la comprobación de la firma fallará. Algunas aplicaciones de correo electrónico como Exmh o KMail de KDE, incorporan la capacidad de firmar documentos con GnuPG desde el interfaz de la aplicación. Hay dos tipos útiles de firmas digitales, documentos de firma en claro y firma separada. ámbos tipos de firma incorporan la misma seguridad de autenticidad, sin requerir que el receptor desencripte el mensaje entero. En un mensaje de firma en claro, la firma aparece como un bloque de texto en el contexto del mensaje; en uno de firma separada la firma es enviada en un archivo distinto al del mensaje (eso es, separada del mensaje). Más informaciónHay mucho más sobre tecnología de encriptación de lo que puede cubrirse en esta breve introducción a GPG. Aquí hay más recursos que permiten aprender más:
|
|
|
|
|
|
