Innovando en las Tecnologias de la Información » privacidad

Privacidad real usando GPG

Pedro Carrasco — Sat, 14 Aug 2010 19:24:33 +0000

Candado (imagen extraida de la wikipedia)

¿Qué es GPG?

GPG, tal y como se dice en la Wikipedia, es una herramienta para cifrar y firmar mensajes. Podriamos decir que es el hermano libre de PGP. Existen los proyectos GPG4win y macgpg2 que proveen de una versión de GPG para Windows y Mac respectivamente.

¿Para qué necesito cifrar y firmar mensajes?

Lo más conveniente sería que habitualmente hiciéramos uso de este tipo de herramientas, al menos para las comunicaciones que queramos mantener realmente en privado.

Por si no lo sabías, la mayoría de correos electrónicos, programas de mensajería como Messenger, accesos y contenido de páginas web, herramientas de videoconferencias, y un largo etcétera de utilidades que a priori pueden parecernos suficientemente privadas, se transmiten por Internet sin ningún tipo de encriptación. Esto quiere decir que si alguien es capaz de escuchar esta comunicación (muy sencillo mediante cualquier sniffer), puede llegar a ver todo lo que estamos haciendo.

Puede parecer poco probable que esto suceda, pero ni te imaginas la de oportunidades que se presentan al día para poder ser víctima de este tipo de espionaje: siempre que utilizas tu conexión wifi del móvil o portátil y te conectas a Internet en un bar, en una biblioteca pública, en la red cableada de tu oficina, incluso en la propia red inalámbrica de tu casa (ni te imaginas lo fácil que puede llegar a ser reventar la clave de una red wifi doméstica) puedes estar siendo espiado.

Sí, sé que suena paranoico, y probablemente lo sea, pero si necesitas una privacidad real, la mejor solución es encriptar o cifrar nuestras comunicaciones.

¿Cómo puedo encriptar un mensaje?

Para encriptar un mensaje con GPG (o con cualquier sistema de criptografía asimétrica), necesitamos generar un par de claves. Una de ellas será la clave pública, clave que todo el mundo deberá conocer, y la otra será la clave privada, que debe mantenerse en privado y sólo tú debes conocer, ya que eso nos garantizará los servicios de confidencialidad, autenticación, integridad y no repudio.

Para generar nuestro par de claves, utilizaremos Seahorse, un gestor de claves GPG para Gnome que facilita mucho todo el proceso. Si utilizas Gnome, te interesará instalar también los plugins de seahorse para nautilus, para disponer del menú contextual que te permita encriptar un archivo haciendo clic en el botón derecho. Instalar seahorse y el plugin puedes hacerlo escribiendo en la consola lo siguiente:

root@laptop:/home/root# sudo apt-get install seahorse seahorse-plugins

Tras la instalación, debes reiniciar nautilus. Para hacerlo puedes reiniciar el PC, o cerrar sesión y volver a entrar o simplemente escribiendo:

root@laptop:/home/root# killall nautilus

Aquí están las capturas que nos muestra cómo generar el par de claves paso a paso utilizando Seahorse:

Paso 1: Ejecutamos Seahorse, y vamos al menú Archivo » Nueva...

Paso 2: Aparecerá una ventana con los tipos de claves que seahorse nos permite crear. Seleccionamos Clave PGP

Paso 3: Aparece una nueva ventana en la que deberemos introducir nuestros datos: Nombre, email y comentario (éste último opcional). También podemos seleccionar el tipo de cifrado, la fortaleza de la clave (recomendado 4096 o más) y la caducidad de la misma si hacemos clic en «opciones avanzadas de clave»

Paso 4: Escribe una contraseña. Ésta sirve para poder guardar de forma segura la clave privada. Deberás utilizar esta clave siempre que hagas uso de la clave privada, así que procura no olvidarla!

Paso 5: En este paso es donde se crea propiamente el par de claves. Este proceso puede tardar bastante, en función de la fortaleza de la clave que hayamos seleccionado antes. Para 4096 tarda unos 3 minutos.

Paso 6: Una vez haya terminado de generar la clave, aparecerá automáticamente en la lista de claves personales, listo para usarlo!

Si utilizas Windows o Mac, prueba con GPG4Win o macgpg2, el proceso debe ser muy parecido, aunque nunca lo he probado. Si alguien tiene alguna experiencia con estas versiones estaré encantado de saber qué tal funcionan y poder intercambiar opiniones.

¿Y ahora qué?

Bien, pues ahora puedes encriptar y firmar documentos o archivos y enviárselos a quien quieras, con la certeza de que nadie, salvo la persona a la que le envías el mensaje, podrá leerlo. Para hacerlo, la persona que recibirá el mensaje encriptado debe disponer también de un par de claves como los que acabamos de generar, y tú debes conocer la clave pública del destinatario.

Vamos a ver un ejemplo de cómo exportar tu clave pública con Seahorse.

Paso 1: Seleccionar la clave GPG de la que quieres exportar la clave pública y hacer clic en el icono de «Exportar a un archivo»

Paso 2: Seleccionar el nombre e indicar dónde queremos guardarlo.

Para importar una clave pública y añadirla en tu lista de claves públicas, tan solo tienes que hacer doble clic en el fichero .asc o, dentro de Seahorse, hacer clic en Archivo » Importar… y seleccionar el archivo de clave pública.

Una vez tengas alguna clave pública del destinatario en el apartado de «Otras claves» ya podemos compartir mensajes encriptados con esa persona. El proceso es muy sencillo, aquí van las capturas de cómo cifrar un archivo paso a paso:

Paso 1: Seleccionamos el fichero que queremos cifrar y hacemos clic con el boton derecho. Seleccionamos la opción Cifrar...

Paso 2: Elegimos las personas que van a poder descifrar el mensaje. En este caso seleccionamos a Albert. También podemos elegir si queremos firmar el mensaje que ciframos o no.

Paso 3: Escribimos la contraseña que hemos utilizado para cifrar nuestra clave privada durante el proceso de creación de la clave (ver paso 4, durante la creación de clave)

Paso 4: Se genera un archivo cifrado con el mismo nombre que el original y se le añade la extensión PGP. Este es el fichero que debemos enviar, ya que, en este caso, sólo Albert podrá descifrarlo. Ni siquiera yo mismo podría descifrarlo. Si quieres poder descifrarlo tu también, tan solo debes añadirte a ti mismo como destinatario.

Ya está! Ahora solo tenemos que enviar el archivo encriptado por correo electrónico, mensajería instantánea o como queramos y nos hemos asegurado de que sólo el destinatario podrá descifrarlo. Si el fichero sufre alguna modificación durante el envío -malintencionadamente o no-, quedará corrupto y no podrá ser devuelto a su estado original (no podrá ser descifrado), por lo tanto se cumple el servicio de integridad. Si además de cifrarlo, hemos optado por firmarlo, el destinatario tendrá la certeza de que sólo quien lo envía ha podido ser el remitente, así que también se cumple el servicio de autenticación. Y desde luego nadie podrá conocer el contenido, salvo Albert en este caso, así que se cumple también el servicio de confidencialidad.

Por cierto, aquí dejo el enlace a mi clave pública por si alguien necesita enviarme algo realmente confidencial.

Tecnología versus Privacidad

Tedi Roca — Sat, 30 Jun 2007 16:27:44 +0000

Esta mañana leía el artículo de noticias-tic.com sobre el uso coherente de la tecnología RFID. Se trata de una reflexión sobre la privacidad en el uso de los sistemas de idenfiticación por radiofrecuencia.

Uno de los aspectos más interesantes del texto es la percepción de que existe una creciente tendencia de implementar tecnología a toda costa; el mito de que los perfiles técnicos siempre quieren apuntalar cualquier tecnología por el simple echo de ponerla en funcionamiento.

En la actualidad, y seguramente desde hace ya mucho tiempo, nuestras vidas están totalmente digitalizadas. Algunas muestras (¿especulaciones?):

Cada vez que compramos con una tarjeta de puntos nuestro historial de consumo pasa a la base de datos del establecimiento, e incluso se cede a otras empresas: RRHH, …
Arrancamos el ordenador, ponemos en marcha un Firewall/filtro (yo uso LittleSnitch) y vemos como prácticamente todas las aplicaciones intentan enviar nuestros datos a sus respectivos fabricantes.
Nos suscribimos a alguna revista/medio y otras 100 empresas asociadas nos envian publicidad. Aquí tengo un buen ejempo: Por alguna razón en el registro de mi ciudad estaba dado de alta como chica (quizás por mi nombre…), mucha de la publicidad que llegaba a mi domicilio iba con destino a "Sra. Tedi Roca …". Desde que corregí el dato no me ha vuelto a llegar publicidad con mención de señora…
Nuestra dirección de correo circula por millones de listas de spam.

¿Más ejemplos?

Google nos controla

Pedro Carrasco — Sun, 18 Feb 2007 23:50:28 +0000

¿Sabias que desde siempre, Google ha estado guardando un registro con todas las búsquedas que se realizan en su buscador?

Ahora, no solo guarda esos registros, sino que además, han vinculado cada búsqueda con la cuenta que utilizas con tu GoogleAccount , y guardan información cada vez que haces uso de búsqueda de imágenes, videos, froogle, noticias o maps.

Todo este despliegue tecnológico, está a disposición del propio usuario, como si de un servicio más se tratara, al que han llamado Google Search History, no es un servicio nuevo, ya que lleva en Google Labs desde Abril de 2005. Por supuesto existe la posibilidad de configurar ese servicio de modo que guarde en el historial búsquedas concretas (sólo imágenes o noticias) , incluso te permite borrarlas.

Leyendo las FAQs de Search History, podemos leer lo siguiente:

¿Qué información recopila Google cuando se utiliza el Historial de búsquedas?

(…) el Historial de búsquedas guarda información relativa a la actividad que llevas a cabo en Google, incluidas tus consultas de búsqueda, los resultados en los que haces clic y la fecha y la hora de tus búsquedas (…) se recopila información adicional, incluida la dirección IP, el tipo de navegador que se emplea y el idioma configurado, así como las cookies que puedan identificarlo exclusivamente (…)

¿De qué forma emplea Google la información que se recopila al utilizar el Historial de búsquedas?

(…) la información que se recopila cuando se utiliza dicho servicio se puede compartir con el resto de servicios de Google (…)

¿Qué ocurre si detengo el servicio Historial de búsquedas, lo elimino o suprimo elementos?

Como es habitual en este sector, Google también conserva un sistema de registros independiente (…)

Hay que reconocer que Google ofrece servicios realmente interesantes – y útiles – para los usuarios con una buena integración entre ellos, quizás por ese motivo cada vez más usuarios hagan de cada uno de estos servicios, el centro de su vida.

Es muy cómodo tener una cuenta gmail a la que automáticamente se vinculen tus actividades del calendario y te recuerden citas, eventos o cumpleaños. O que te envíe un recordatorio por SMS al móvil. Incluso utilizar GoogleMaps para averiguar cómo llegar en coche a ese lugar al que te han citado mediante GoogleCalendar. Sin contar que muchísima gente utiliza a diario GoogleDesktop para buscar ficheros y mensajes de correo electrónico localmente en su PC.

Si echamos un vistazo a todos estos servicios, es evidente que Google hoy en día, tiene la capacidad de saber absolutamente todo de nosotros, desde controlar nuestros correos electrónicos hasta saber nuestro teléfono móvil privado, pasando por conocer qué buscamos en internet (y qué encontramos) o qué ficheros albergamos en nuestro ordenador.

Como usuario de muchos de estos servicios no me hace especial ilusión que un gigante como Google, controle cada aspecto de mi vida. Tampoco sé que hacen con esos registros independientes ni a manos de quien llega esa información. Cada día internet es menos anónimo. Toda nuestra vida se puede rastrear en internet. ¿Qué opinas?

{mos_sb_discuss:21}

Innovando en las Tecnologias de la Información » privacidad

Privacidad real usando GPG

Artículos relacionados

Tecnología versus Privacidad

Artículos relacionados

Google nos controla

Artículos relacionados