¿Qué es el cifrado PGP y cómo se utiliza?

Cifrar los correos electrónicos con PGP supone una mayor seguridad para las empresas que utilizan el correo electrónico para comunicarse. Aprende a proteger tus mensajes de personas no autorizadas con el cifrado PGP.

¿Qué es el cifrado PGP?¶

El cifrado PGP te ofrece una excelente forma de proteger la información y cifrar el contenido de tus correos electrónicos. Originalmente, el término PGP, que significa “Pretty Good Privacy” (en español, “privacidad bastante buena”), hacía referencia al software de encriptación de correo electrónico desarrollado por Phil Zimmermann en 1991. Sin embargo, con el paso de los años, el nombre se ha generalizado para describir el método de cifrado utilizado por el software.

El cifrado PGP se basa en un sistema de clave pública (también conocido como método asimétrico). En él, se utiliza un par de claves asignadas de forma permanente: una clave pública y otra privada. La clave pública se comparte con tus posibles contactos, bien directamente, bien cargándola en un servidor de claves externo. De esto modo, los contactos pueden cifrar los correos que te envían. Por otro lado, solo tú estás en posesión de la clave privada, que te permite descifrar los correos que has recibido previamente cifrados con la clave pública de PGP. Para que puedas comunicarte de forma segura de esta manera, tus interlocutores también deben utilizar PGP y proporcionarte sus claves públicas.

En el pasado, configurar el cifrado PGP solía ser un proceso bastante complejo, lo que desalentaba a usuarios menos expertos, que preferían no utilizar este tipo de cifrado de correo electrónico. No obstante, en los últimos años, se han desarrollado plugins que han hecho que el cifrado PGP esté al alcance de un público más amplio. Entre ellos se encuentran FlowCrypt y Mailvelope. Además, varios proveedores de correo electrónico establecidos han creado sus propios plugins PGP y asistentes de configuración, incorporándolos en sus servicios de correo electrónico.

Ejemplos de aplicación del cifrado PGP¶

Los métodos de cifrado asimétrico, como PGP, han sido ampliamente utilizados en el mundo de la informática y se aplican en diversos campos. A continuación, mencionamos algunos de los ámbitos en los que PGP se utiliza con mayor frecuencia.

1. Cifrado de mensajes confidenciales: el cifrado de correos electrónicos y otros tipos de mensajes es, con diferencia, el caso de uso más común para PGP.
2. Cifrado de archivos y sistemas de archivos: además del cifrado de comunicaciones confidenciales, PGP también se puede utilizar para cifrar archivos, ya sea en un disco duro local o en un servidor.
3. Firmas digitales: PGP también es ampliamente utilizado en el ámbito de las firmas digitales. Al aplicar una firma PGP a un mensaje o archivo, se garantiza la autenticidad del remitente y la integridad del contenido, lo cual permite verificar que el mensaje no ha sido modificado ni manipulado por terceros durante su transmisión. Además, las firmas digitales también son utilizadas para asegurar la autenticidad e integridad de archivos, como programas y documentos.

Tutorial: configurar el cifrado PGP¶

En la actualidad, existen proveedores de servicios de correo electrónico que ofrecen paquetes preparados para configurar el cifrado PGP y brindan instrucciones claras para facilitar el proceso. Sin embargo, si no cuentas con esta opción, puedes tomar medidas por tu cuenta. En el siguiente tutorial de PGP te vamos a ayudar a configurar y utilizar el cifrado PGP.

Cifrado PGP con software¶

Paso 1. Instalar el software¶

Para comenzar, es importante buscar el software de PGP adecuado que sea compatible tanto con tu sistema operativo como con el programa de correo electrónico que utilizas. Si eres usuario de Linux, el software de código abierto GnuPG (GNU Privacy Guard), lanzado por primera vez en 1997, es una opción popular. La versión 1.4, un poco más antigua, suele venir preinstalada en muchos sistemas, mientras que la última versión se puede descargar desde la página web oficial de GnuPG.

Si utilizas Windows o macOS, también puedes encontrar archivos binarios en la página web oficial para instalar versiones específicas de GnuPG adaptadas a cada sistema. Por ejemplo, para Windows, puedes optar por Gpg4win, mientras que para Mac, puedes utilizar Mac GPG.

Paso 2. Generar el par de claves¶

Una vez que hayas instalado el programa PGP, puedes generar un par de claves. En Linux, abre la línea de comandos y consulta el manual del programa que estás utilizando para encontrar el comando específico que debes introducir. Si estás utilizando GnuPG, el comando para generar un par de claves sería el siguiente:

sudo gpg --gen-key

A continuación, selecciona el tipo de cifrado que quieres utilizar. En general, se recomienda seguir la configuración predeterminada, que suele ser “RSA y RSA”, a menos que tengas conocimientos técnicos adicionales. Luego, introduce la longitud de la clave en bits. Ten en cuenta que cuanto mayor sea el valor, más seguras serán las claves, pero también ralentizará el proceso. A continuación, especifica el periodo de validez de las claves y proporciona tu nombre y dirección de correo electrónico para los cuales se aplicará el par de claves. Por último, define la contraseña para tu clave privada, ya que la necesitarás más adelante para cifrar y descifrar tus correos electrónicos.

En Windows y Mac OS X, puedes iniciar la generación de claves a través de programas gráficos. Independientemente del software de PGP y la plataforma que utilices, es común que tengas que confirmar la generación de claves mediante entradas aleatorias en el teclado o movimientos del ratón.

Paso 3. Compartir tu clave pública con tus contactos¶

En Linux, puedes gestionar las claves PGP generadas a través de la terminal o con la ayuda de un programa gráfico, como Seahorse (para Gnome/Unity) o KGpg (para KDE). Por ejemplo, los comandos para las claves privadas de GnuPG, presentados en este tutorial de PGP, son los siguientes:

sudo gpg --list-secret-keys
sudo -K

Para obtener una lista de todas las claves públicas generadas, puedes utilizar los siguientes comandos:

sudo gpg --list-keys
sudo -K

Puedes ver las claves en una lista y exportarlas directamente. Al exportarlas, obtendrás un archivo .asc que podrás enviar a tus contactos o servidores de certificados. Si un contacto recibe tu clave pública y dispone de un programa de gestión de claves, podrá enviarte correos electrónicos cifrados que tú podrás descifrar y leer. De la misma manera, si quieres enviar correos electrónicos cifrados a ese mismo contacto, necesitarás su clave pública.

Cifrado PGP online¶

En lugar de utilizar programas que debes instalar en tu sistema, también puedes recurrir a herramientas de PGP online para crear pares de claves y cifrar o descifrar mensajes con PGP. Un ejemplo es el servicio web llamado PGP Key Generator, que te permite crear pares de claves y realizar operaciones de cifrado o descifrado de mensajes.

PGP Key Generator es una aplicación JavaScript que funciona en navegadores web estándar y te permite generar pares de claves. Es un servicio de código abierto y gratuito, que no requiere registro para su uso.

En el primer paso, simplemente ingresa las características de las claves en el formulario. Luego, haz clic en “Generar claves” para comenzar el proceso de generación. Una vez completado, podrás visualizar las claves generadas.

El PGP Key Generator es una aplicación de código abierto, lo que permite a los expertos revisar su código fuente en cualquier momento para verificar su seguridad y fiabilidad. Sin embargo, como ocurre con todas las demás aplicaciones JavaScript, siempre existe la posibilidad de que los ciberdelincuentes encuentren posibles vulnerabilidades en la seguridad del servicio web y las utilicen para atacar tu sistema y acceder a datos sensibles. Es importante ser consciente de esta posibilidad y tomar las precauciones necesarias al utilizar cualquier servicio online.

Cifrado PGP para servicios de correo electrónico¶

Si prefieres comunicarte a través de servicios de correo electrónico como Gmail, Yahoo, GMX o Outlook.com, la extensión del navegador Mailvelope es una excelente opción para ti. La extensión se basa en OpenPGP.js y está disponible para Google Chrome, Microsoft Edge y Mozilla Firefox. Una vez instalada, verás el icono de Mailvelope en la barra de herramientas de tu navegador, desde donde puedes acceder a la interfaz de usuario. Aquí puedes crear, importar y administrar tus claves, así como las claves públicas de tus contactos, o cargar claves públicas generadas en un servidor de claves público.

Una vez hayas instalado Mailvelope, al abrir la bandeja de entrada de tu correo electrónico en el navegador, la extensión escaneará automáticamente todo el contenido en busca de PGP mail. De este modo, te puede mostrar elementos específicos para el cifrado o descifrado de un correo electrónico. En las opciones, puedes activar o desactivar el cifrado PGP para Gmail, Outlook y otros servicios.

Cifrado PGP para smartphones¶

Para utilizar el cifrado PGP en dispositivos iOS y Android, necesitas un software de gestión de claves y un cliente de correo electrónico compatible con el método de cifrado. Hemos seleccionado una app de gestión de claves para iOS y Android respectivamente, con la que podrás guardar y gestionar las claves PGP de tus contactos.

iOS: PGPro¶

PGPro es una aplicación para iOS que te permite crear, gestionar y exportar claves PGP. La aplicación es de código abierto y se basa en el estándar OpenPGP. Además, todos los mensajes y claves generadas se almacenan exclusivamente en tu dispositivo local.

Una vez hayas instalado la aplicación desde la App Store, puedes generar o importar nuevos pares de claves PGP desde la pestaña “Keychain”. En las secciones “Encryption” y “Decryption”, puedes cifrar mensajes con una clave pública o descifrarlos con una clave privada.

Android: OpenKeychain: Easy PGP¶

Los usuarios de Android pueden utilizar la aplicación “OpenKeychain: Easy PGP”, que también es de código abierto y se basa en el estándar OpenPGP.

Una vez hayas instalado la aplicación, puedes ver, importar y gestionar tus claves privadas y públicas en la sección “Keys”. En el apartado “Encrypt/Decrypt”, puedes cifrar o descifrar mensajes y archivos utilizando las claves.

Diferencias entre contenido y conexiones cifradas¶

Es común que los usuarios piensen que sus correos electrónicos están cifrados al intercambiarlos mediante certificados SSL o TLS. Sin embargo, solo es una verdad a medias, ya que los certificados SSL/TLS en realidad solo cifran el canal de transmisión de los mensajes entre los servidores de correo electrónico. Es decir, los mensajes pueden ser interceptados por terceros al ser subidos al servidor, lo que los expone a ser leídos en texto sin cifrar.

Además, a diferencia de PGP, SSL/TLS no firman el correo y, por tanto, no garantizan su autenticidad. Sin embargo, los certificados SSL/TLS tienen la capacidad de cifrar ciertos componentes del correo electrónico que no quedan cifrados con PGP, como la información sobre el remitente, el destinatario o el asunto.

La combinación de cifrado PGP y cifrado SSL/TLS es, por tanto, la solución óptima para proteger el contenido de tu correo electrónico. Puedes encontrar más información sobre la transmisión cifrada en nuestra guía sobre el “encriptado de correo electrónico con SSL/TLS”.