El cifrado fuerte ha dejado de ser privilegio de frikis y gente paranoica, para convertirse en una funcionalidad de uso masivo. Sin embargo, el verdadero cifrado de extremo a extremo no se activa automáticamente, y generalmente requiere que usted accione una serie de interruptores, tal como se describe en este artículo acerca de la mensajería instantánea. El cifrado con OpenPGP no es la excepción, y exige a los usuarios el uso de algunas de las mejores practicas para lograr su nivel máximo de seguridad. Este artículo le ofrecerá una lista concisa de las mejores practicas de cifrado con OpenPGP.
Claves públicas y servidores de claves públicas (PKS)
- No confíe ciegamente en claves de servidores públicos
Cualquiera puede subir claves a servidores de claves públicas, y no hay razón alguna por la que usted deba confiar en las relaciones dadas (las asociaciones entre la ID de e-mail y la clave pública). Siempre se debe verificar la huella digital de la clave con su propietario respectivo.
- Verifique siempre las claves públicas con sus destinatarios
Se recomienda verificar esto físicamente o por teléfono.
Si no fuese posible, entonces investigue en lugares como redes sociales, páginas web personales, blogs, etc. que pertenezcan al individuo cuya huella digital de clave usted desee tener, puesto que hay personas que simplemente publican la huella digital de su clave pública.
- Verifique las huellas digitales de las claves antes de importarlas
Siempre verifique la huella digital antes de importarla.
- Nunca confíe en la ID de clave
Verifique siempre una clave pública de OpenPGP dada mediante su huella digital respectiva.
Incluso para ID de clave de 64 bits de longitud (p.ej., 0x44434547b7286901 –) la probabilidad de colisión puede potencialmente ser un problema muy serio.
- Actualice las claves públicas en su depósito de claves
Si usted no actualiza las claves públicas en su depósito de claves, no recibirá expiraciones ni revocaciones de forma oportuna, y ambas cosas son importantes para tener en cuenta. Mailfence le permite lograr esto simplemente haciendo clic en “actualizar desde un servidor público” en cualquier clave pública importada que tenga en su depósito de claves.
¡Si es posible, haga intercambio negable de claves!
YUsted puede hacer intercambio negable de claves si tiene una clave pública fácilmente disponible e identificable. Dígale a todos sus correspondientes que usen su clave pública para contactarle, e incluya sus claves públicas en el cuerpo cifrado de su mensaje. Esto le protegerá de todos los ataques principales de intercambio de claves. Solo asegúrese de que su clave pública sea verificable a través de varios canales, por ejemplo: redes sociales, listas públicas de e-mail, servidores de claves públicas, etc. Mientras más canales tengan su huella digital de PGP, más difícil le será a Eve atacarlos a todos.
Generación y configuración de claves para cifrado con OpenPGP
Ahora que ya usted sabe cómo recibir actualizaciones regulares de claves desde un servidor de claves bien mantenido, debería asegurarse de que su clave de OpenPGP esté configurada de manera óptima. Muchos de estos cambios pueden requerir que usted genere una nueva clave.
- Tenga una clave privada robusta
Mailfence genera una clave RSA de 4096 bits de manera predeterminada. Pero si usted está considerando generar su clave privada usando una herramienta externa, entonces asegúrese de que tenga 2048 o 4096 bits de longitud.
- Use una fecha de caducidad
A los usuarios normalmente no les gusta que sus claven caduquen, pero existen buenos motivos para permitir esto. ¿Por qué? La idea es configurar algo que deshabilite su clave en caso de que ya no pueda acceder a ella, o si esta se ve comprometida (y usted no tenga un certificado de revocación). Usted siempre puede extender su fecha de caducidad, ¡incluso después de que haya caducado! Esta “caducidad” es más bien una válvula de seguridad que se dispara automáticamente en algún momento. Si usted tiene acceso al material de la clave secreta, puede evitar dicha caducidad.
- Configure su calendario para que le recuerde su fecha de caducidad
Lo mejor es configurar un evento en su Calendario Mailfence que le recuerde prolongar la fecha de caducidad de su clave de OpenPGP en el momento adecuado.
de nuevo, usted siempre puede prolongar la fecha de caducidad, ¡incluso después de que haya caducado! Usted no necesita crear una clave nueva, sino simplemente prolongar su fecha de caducidad hasta una fecha posterior.
- Genere un certificado de revocación
En caso de que se le olvide su frase de contraseña, o si su clave privada se ve comprometida o se le pierde, su única esperanza es esperar que la clave caduque (cosa que no es la mejor solución). Es mejor idea activar su certificado de revocación publicándolo en servidores de claves públicas. El hacer esto notificará a los demás de que esa clave ha sido revocada.
Sin embargo, una clave revocada todavía puede usarse para verificar firmas antiguas, o para descifrar datos. A condición de que usted aún tenga acceso a la clave privada.
- Otras verificaciones de clave de OpenPGP
Si usted ha generado su clave privada usando Mailfence, no tiene que preocuparse por los puntos anteriores, puesto que no aplican para usted:
– Asegúrese de que su clave sea OpenPGPv4
– Sus claves de OpenPGP deberían ser DSA-2 o RSA (de preferencia RSA), idealmente de 4096 bits o más.
– Sus claves de OpenPGP deberían tener una fecha de caducidad razonable (de no más de 2 años))
Sugerencias adicionales para las mejores practicas de cifrado con OpenPGP
- ¿Tiene un respaldo cifrado de sus claves secretas?
Por favor, revise dos veces. Idealmente, usted debería respaldar su clave (cifrada con su frase de contraseña de forma predeterminada) tanto en la nube como en su máquina local. También, haga un respaldo de su certificado de revocación en su máquina local.
Nota: tenga presente que su certificado de revocación está listo para usarse. Si algún ladrón lo obtiene, este podrá usarlo para revocar su clave.
- No incluya un “comentario” en su ID de usuario.
La ID de usuario de OpenPGP se usa normalmente para mencionar su nombre o alias, y no para hacer comentarios.
Preste atención a los servidores de claves públicas
La mayoría de las aplicaciones basadas en OpenPGP vienen con un servidor de claves único y específico. Esto no es lo ideal, porque si el servidor de claves falla, o peor aún, si parece que funciona, pero no funciona realmente, usted podría no recibir actualizaciones críticas de sus claves. Esto no solo es un punto único de fallo, sino también una gran fuente de fugas de información de relaciones entre los usuarios de OpenPGP, y por lo tanto un objetivo para ataques.
Por lo tanto, lo mejor es no basarse en un solo servidor de claves públicas para la publicación o importación de claves. Mailfence usa un depósito sks servidores de claves ─ un depósito al cual se le hacen frecuentes verificaciones para garantizar que está funcionando como debe. Si un servidor no está funcionando adecuadamente, se elimina automáticamente del depósito.
Por último, todas sus interacciones con el servidor de claves deberían estar cifradas (mediante TLS/SSL – hkps), cosa que ocultará su mapa de relaciones sociales de cualquiera que pudiese estar espiando en su tráfico.
Responder a e-mails sin cifrar, elementos enviados y borradores
Elimine el contenido sin cifrar en la respuesta a un e-mail sin cifrar, y haga referencia solo a las partes más relevantes, si hace falta. Configure su aplicación para que no guarde borradores de manera predeterminada, y descarte los mensajes cifrados de los mensajes enviados, o no los conserve en texto simple. Mailfence hace todas estas operaciones para usted de manera predeterminada.
- Proteja sus metadatos
El minimizar las fugas de información contextual de las comunicaciones también es una buena practica, que solo requiere ocultar los metadatos (de, para, dirección IP, etc.). Siempre que sea posible, y relevante, tome el control de esa información, y desvincúlela de datos relacionados con usted. Por ejemplo, usted puede controlar el campo De creando una nueva cuenta de e-mail. La dirección IP del cliente que remite el e-mail se puede cambiar usando una VPN, Tor, o una conexión pública a internet. Aquí aplican las advertencias acostumbradas acerca de Tor: no confíe exclusivamente en Tor. Si necesita proteger su dirección IP, entonces use una IP que no pueda relacionarse con usted.
La línea del asunto nunca jamás debe referirse al contenido del e-mail (o aún mejor, puede dejarse vacía), ni siquiera de forma tangencial. Por ejemplo, “Asunto: ¡me encantó verte en la torre Eiffel”! es un fallo total de seguridad de e-mail.
Si quiere ir un poco más allá, lea los siguientes documentos acerca de las mejores practicas de cifrado con OpenPGP
- https://riseup.net/en/security/message-security/openpgp/best-practices (consejos para expertos, un poco desactualizados)
- https://alexcabal.com/creating-the-perfect-gpg-keypair/ (consejos para expertos)
- https://wiki.debian.org/Keysigning (todo el software oficial de Debian y Ubuntu está firmado con OpenPGP)
Nota: si usted no mantiene segura su cuenta de e-mail, entonces nuestras mejores practicas de cifrado con OpenPGP no le ayudarán. En tal caso, le aconsejamos que verifique cómo proteger la seguridad de su cuenta privada de e-mail.
Mailfence – un servicio de e-mail seguro y privado. Síganos en twitter/reddit y manténgase actualizado en todo momento.
