Protocolos PGP

1. Protocolos PGP Presentado por: Andrés Mejía Ocampo

2. indice • Funcionamiento • PGP como estándar de internet • Firmas digitales • Web de confianza • Generación de claves • Bibliografía.

3. Protocolos PGP • PrettyGoodPrivacy o PGP (privacidad bastante buena) es un programa desarrollado por Phil Zimmermann y cuya finalidad es proteger la información distribuida a través de Internet mediante el uso de criptografía de clave pública, así como facilitar la autenticación de documentos gracias a firmas digitales. • PGP originalmente fue diseñado y desarrollado por Phil Zimmermann en 1991. El nombre está inspirado en el del colmado Ralph'sPrettyGoodGrocery de Lake Wobegon, una ciudad ficticia inventada por el locutor de radio GarrisonKeillor.

4. funcionamiento • PGP combina algunas de las mejores características de la criptografía simétrica y la criptografía asimétrica. PGP es un criptosistema híbrido. • Cuando un usuario emplea PGP para cifrar un texto simple, dicho texto es comprimido. La compresión de los datos ahorra espacio en disco, tiempos de transmisión y, más importante aún, fortalece la seguridad criptográfica. La mayoría de las técnicas de criptoanálisis explotan patrones presentes en el texto simple para craquear el cifrador. La compresión reduce esos patrones en el texto simple, aumentando enormemente la resistencia al criptoanálisis.

5. Después de comprimir el texto, PGP crea una clave de sesión secreta que solo se empleará una vez. Esta clave es un número aleatorio generado a partir de los movimientos del ratón y las teclas que se pulsen durante unos segundos con el propósito específico de generar esta clave (el programa nos pedirá que los realicemos cuando sea necesario). • Esta clave de sesión se usa con un algoritmo simétrico convencional (IDEA, Triple DES) para cifrar el texto simple. • Una vez que los datos se encuentran cifrados, la clave de sesión se cifra con la clave pública del receptor (criptografía asimétrica). • La clave de sesión cifrada se adjunta al texto cifrado y el conjunto es enviado al receptor. • El descifrado sigue el proceso inverso. El receptor usa su clave privada para recuperar la clave de sesión, que PGP luego usa para descifrar los datos.

6. La combinación de los dos métodos de cifrado permite aprovechar lo mejor de cada uno: el cifrado simétrico o convencional es mil veces más rápida que el asimétrico o de clave pública, mientras que éste, a su vez, provee una solución al problema de la distribución de claves en forma segura. • Las llaves empleadas en el cifrado asimétrica se guardan cifradas protegidas por contraseña en el disco duro. PGP guarda dichas claves en dos archivos separados llamados llaveros; uno para las claves públicas y otro para las claves privadas.

7. PGP como estándar de internet • La Internet Engineering Task Forcé se ha basado en el diseño de PGP para crear el estándar de InternetOpenPGP. Las últimas versiones de PGP son conformes o compatibles en mayor o menor medida con ese estándar. La compatibilidad entre versiones de PGP y la historia del esfuerzo por estandarizar OpenPGP, se tratan a continuación.

8. Firmas digitales • PGP ofrece autenticación de mensajes y la comprobación de su integridad. Ésta última es usada para descubrir si un mensaje ha sido cambiado luego de ser completado (la propiedad de integridad del mensaje), y la anterior para determinar si realmente fue enviado por la persona/entidad que reclama ser el remitente (una firma digital). En PGP, estas operaciones son usadas por defecto junto con la codificación o cifrado del mensaje, pero pueden ser aplicadas a texto simple también. El remitente usa PGP para crear una firma digital para el mensaje con algoritmos de firma RSA o DSA. Para hacer esto, PGP calcula un picadillo (también llamado resumen o - en inglés - "hash" del mensaje) del texto simple, y luego crea la firma digital de aquel picadillo usando las llaves privadas del remitente.

9. Web de confianza • Tanto codificando mensajes como verificando firmas, es crucial que la clave pública enviada a alguien o alguna entidad realmente 'pertenezca' al destinatario intencionado. Simplemente el hecho de descargar una llave pública de algún sitio perteneciente a una asociación no nos asegura que podamos confiar en dicha asociación. • El PGP tiene, desde sus primeras versiones, provisiones siempre incluidas para distribuir las llaves públicas de un usuario en 'un certificado de identidad' que es construido usando criptografía asegurando de esta manera que cualquier tergiversación sea fácilmente detectable. • Pero simplemente la fabricación de un certificado que es imposible modificar sin ser descubierto con eficacia es también insuficiente.

10. Esto puede prevenir la corrupción sólo después de que el certificado ha sido creado, no antes. • Los usuarios también deben asegurar por algunos medios que la llave pública en un certificado realmente pertenece a la persona/entidad que lo reclama. • De su primera liberación, los productos de PGP han incluido un certificado interno 'examen del esquema' para asistir junto a este; un modelo de confianza que ha sido llamado una web de confianza. • Una llave pública dada (o más expresamente, información que liga un nombre de usuario a una llave) puede ser digitalmente firmada por un usuario tercero para dar testimonio a la asociación entre alguien (realmente un nombre de usuario) y la llave. Hay varios niveles de confianza que pueden ser incluidos en tales firmas.

11. Aunque muchos programas lean y escriban esta información, pocos (si alguno) incluyen este nivel de certificación calculando si hay que confiar en una llave. La web del protocolo de confianza fue descrita por Zimmermann en 1992 en el manual para la versión 2.0 PGP

12. Seguridad en PGP • PGP es el programa más popular de cifrado y firmado de correo electrónico y de archivos, un auténtico héroe legendario de la lucha civil por la libertad criptográfica para todos los ciudadanos. Permite firmar y cifrar los correos, de manera que usted podrá estar seguro de que nadie más que el destinatario legítimo es capaz de leer los mensajes, de que estos no son manipulados y de que nadie le suplanta. Además, permite cifrar archivos e incluso particiones del disco duro. En este artículo se presenta una introducción al uso y ventajas de este programa en la empresa.

13.  La información se ha convertido en un activo de gran valor en las empresas actuales. Por desgracia, paralelamente al crecimiento del uso de la informática y de las redes de comunicaciones para tratarla y distribuirla, se multiplica el número de incidentes de seguridad. • Cuanto mayor es el volumen de información procesado y transferido informática y telemáticamente, mayor es el riesgo derivado de su pérdida, alteración o revelación. La seguridad de la información tiene por objetivo proteger a los sistemas informáticos frente a las amenazas a las que están expuestos. • Entre otros aspectos que no serán tratados aquí, es necesario garantizar la confidencialidad, la integridad y la autenticación de la información. El primero de estos objetivos hace referencia a la incapacidad de un atacante de obtener el texto en claro de los datos.

14. La integridad asegura que la información no ha sido modificada o que al menos los cambios serán detectados. Por último, la autenticación permite verificar la identidad del autor de los datos. La criptografía proporciona mecanismos y servicios adecuados para garantizar estos tres objetivos bajo ciertas condiciones. • En este artículo se aborda cómo es posible alcanzar estas metas de manera sencilla mediante el uso de un programa de criptografía muy popular: PGP (PrettyGoodPrivacy). • PGP fue uno de los primeros programas de la Historia en poner en manos del gran público toda la potencia de la criptografía. Desde que su autor, Phil Zimmermann, escribiera la primera versión allá en 1991.

15. en la prehistoria de internet, tanto el programa como su creador han atravesado numerosas vicisitudes, dando lugar a multitud de versiones y variantes, comerciales y libres, con características muy diferentes. Este artículo analizará y estudiará sus aplicaciones y usos más comunes en la empresa.

16. Generación de claves • El primer paso necesario para poder comenzar a utilizar el programa consiste en generar un par de claves pública y privada. Por ejemplo, utilizando GnuPG, el siguiente comando permite comenzar el proceso: • gpg --gen-keyA continuación, tanto PGP como GnuPG preguntan sobre el tipo de claves a crear. Aunque existen diferencias entre ellas, que afectan a su seguridad o tamaño, éstas son mínimas, por lo que para la mayoría de usuarios el tipo de claves ofrecidas por defecto por el programa son perfectamente válidas.

17. En este punto surge una cuestión que suele generar acalorados debates entre los usuarios de este tipo de programas: el tamaño de clave. • Deben considerarse dos criterios para poder realizar una elección correcta en este sentido: el grado de seguridad y la velocidad de uso buscada. • Claramente, un tamaño mayor de clave implica mayor resistencia a ataques por fuerza bruta y, en contrapartida, mayor lentitud en las operaciones realizadas con ellas. • Sin embargo, para la mayoría de usuarios, el factor determinante será la seguridad, en lugar de la velocidad, debido principalmente a que el proceso de cifrado no se lleva a cabo con las claves asimétricas, sino con una clave de sesión, la cual a su vez se cifra con la clave pública del destinatario del mensaje.

18. Bibliografía • http://es.wikipedia.org/wiki/Pretty_Good_Privacy • http://www.idg.es/pcworldtech/mostrararticulo.asp?id=193022&seccion= • http://www.enelnombredetux.com/project.php?project=pgp