Fiesta de llaves GPG - Participando en el Grupo (2)

Hay gente que cree que es importante mantener su llave pública en secreto ya que le otorga mayor seguridad en sus comunicaciones. Esto es cierto por que un servidor puede ser manipulado o comprometido y enviar llaves públicas de forma incorrecta. Por ello, la llave pública que se envia a los servidores no debe ser la última actualización de la misma. Por ejemplo, firmas adicionales pueden ser añadidas a la llave pública local pero no subidas al servidor de llaves. Eso es así porque la llave pública del par de llaves es necesaria para realizar cierto ataques en criptosistemas. Estos ataques dificilmente podrán tener éxito, no importa si la llave pública es emitida, ya que la fuerza del par de llave reside en mantener oculta la llave secretra.

Yo no recomiendo que mantengas tu llave pública en secreto por que eso desanima a los demás usuarios que utilizan PGp en sus comunicación contigo. Para evitar la posibilidad de que el servidor esté comprometido o haya sido alterado en su retorno de llaves pública es recomendable que publiques las huellas de tu llave dentro de un fichero .signatura o en tu página web, para evitar la posibilidad de que alguien ataque tu llave pública y de esa forma comprometa la seguridad de tus comunicaciones, puedes generar otro par de llaves adicional (que caduque en horas o en dias) para cada una de las comunicaciones e intercambios de llaves.

Si no deseas que tu llave esté en un servidor, no debes realizar el último paso e indicar al coordinador del Grupo de Firmas que tu llave firmada no debe subirse al servidor de llaves. El coordinador puede extraer los detalles de tu llave y reenviarlos a los demás participantes via correo encriptado, o por otros métodos, adjuntando una nota indicando que deben devolverse una vez firmado en vez de subirlar al servirdor de llaves.



Este paso es opcional.

La creación y almacenamiento del Certificado de Cancelación te permitirá cancelar tu llave pública en cualquier momento que pierdas acceso a tu llave privada o esta se vea comprometida: fallo del soporte, ataque, olvido de frase secreta. Si quieres cancelar la llave pública incluso cuando no tienes acceso a la llave privada, entonces debes generar un Certificado de Cancelación y almacenarlo en un lugar seguro. Puedes incluso imprimir una copia del certificado para poder entrarla manualmente, por si falla el medio de almacenaeje.

Si el Certificado de Cancelación queda comprometido, la persona que lo comprometa podrá cancelar la llave pública en circulación, sin embargo no podrá acceder a la llave secreta y tampoco podrá generar falsas firmas, desencriptar mensajes o cualquier otra cosa que pueda hacer el usuario del par de llaves. Realmente lo único negativo de esto es que deshabilita el par de llaves.

3.9∞ Cancelando tus llaves.

El comando GnuPG para crear un Certificado de Cancelación es:


bash$ gpg --output revcert.asc --gen-revoke <ID_Llave>

9) Envia la información al Coordinador indicándole que vas a asistir a el Grupo de Firmas. El siguiente comando te permite imprimir la información necesaria y que debes enviar al coordinador si no utilizas un ser servidor de llaves, pueden enviar la información encriptada al coordinador.


bash$ gpg --fingerprint <ID_LLave>

10) Desmontar el disquette y expulsarlo:


bash$ umount /mnt/floppy

Nota: Para una máxima seguridad, puedes llevarte contigo el disquette allá donde vayas o puedes dejarlo en un lugar seguro, encerrado en tu escritorio, etc. DO DEBES dejar tus llaves accesibles por internet.

11) Ir a el Grupo de Firmas.




Paso 1: Obtener un copia de la llave.

Normalmente se obtiene de los servidores de llaves, sin embargo si la llave no está disponible en el servidor puedes importarla utilizando gpg --import. Si trabajas con servidores de llaves, el siguiente comando te servirá para descargar la llave publica e incorporarla en tu anillo público.


bash$ gpg --keyserver <servidor> --recv-keys <ID_Llave>

Si recibes un error, significa que el servidor está sobrecargado. Por favor, inténtalo dentro de unos segundos.

Paso 2: Huella y verificado de llave


bash$ gpg --fingerprint <ID_Llave>

GPG imprimirá la huella del usuario <ID_Llave> (la llave que se acaba de descargar). Comprobamos la huella con la que tenemos en el listado del Grupo de Firmas. Nota: No compruebes la huella de tu listado contra la huella que aparece en la web del servidor, ya que puede no haberte enviado la misma llave.

Paso 3: Firmar una llave


bash$ gpg --sign-key <Key_ID>

Si tienes multiples llaves privadas, debes especificar cuál de todas tu llaves privadas es la que va a firmar la llave pública, este es el comando:


bash$ gpg --default-key <ID_a_usar> --sign-key <ID_Llave>

Si tienes problemas con llaves tipo RSA es por que probablemente estés utilizando una versión antigua de GnuPg. Versiones anteriores a la 1.0.3 no incluye compatibilidad con RSA. Nota: Debes desintalar la versión antigua, para comprobar que versión estas utilizando usa el siguiente comando:


bash$ gpg --version

Paso 4: Devolver o subir la llave firmada

Si estas trabajando con una entidad que no quiere que su llave esté en un servidor público, deberás devolver la llave pública firmada a su propietario por el método que él eliga - normalmente encriptada. No debes enviar la llave pública firmada al servidor sin el permiso de su propietario. Publicar una llave reduce levemente la seguridad del par de llaves, por lo tanto está mal visto publicar una llave si su propietario no lo desea.

Pero normalmente trabajarás con servidores de llaves. Si es el caso, deberás enviar la llave pública firmada de vuelta al servidor con el siguiente comando:


bash$ gpg --keyserver <servidor> --send-key <ID_Llave>

Verás un mensaje de éxito como este:


gpg: success sending to `<servidor>' (status=200)

Felicidades, el firmado de llave pública ha terminado y tu firma ha sido incluida en su llave pública. Se han establecido las vías de confianza.



En el momento que sospeches que tu llave secreta ha sido comprometida, debes cancelarla de forma inmediata. La cancelación de llaves tiene lugar añadiendo una firma de cancelación dentro de tu llave pública. La cancelación de una llave pública sugiere que la llave ya no es válida (segura) y no debe usarse. Cuando se libera un Certificado de Cancelación este no puede retrocederse.

Piensa que tu llave PGP se ha distribuido (está en circulación) para los demás desde un punto central (servidor de llaves) al cuál se accede cada vez para obtenerla, debes distribuir o poner en circulación el Certificado de Cancelación de la misma forma que has distribuido tu llave pública. Para poner en circulación el certificado de cancelación de la misma forma que tu llave pública sólo hay que subirla al servidor de llaves públicas. Si no lo has subido por razones de seguridad, puede que ahora si debas subir el Certificado de Cancelación al servidor de llaves. En ese caso deberás plantearte una leve inseguridad como resultado de publicar tu llave en un servidor de llaves y reducir el peligro de que alguien no se entere de que tu llave ha sido cancelada.

El comando para crear el Certificado de Cancelación es:


bash$ gpg --output revcert.asc --gen-revoke <key_id>

Si tienes sospechas de como o cuando tu llave ha sido comprometida y generaste un certificado de cancelación en su momento, deberías de crear un nuevo certificado que cancele tu par de llaves, ya que en openPGP se puede dar un motivo por el cuál se cancela el par de llaves e incluso se puede añadir unas cuantas lineas de texto. Enviar este nuevo Certificado de Cancelación sobre el antiguo es mucho mejor, ya que el texto es más específico que el inicial.