UNIVERSIDAD LATINA (UNILA) I.- FIRMA Y CIFRADO DE DOCUMENTOS DIGITALES CON PGP Y GPG. LE, EI, Profesor Ramón Castro Liceaga

Firma de documentos digitales ¿Qué es la firma digital? La firma digital es una herramienta tecnológica que permite garantizar la autoría e integridad de los documentos digitales. La firma digital es un instrumento con características técnicas y normativas, lo cual significa que existen procedimientos técnicos que permiten la creación y verificación de firmas digitales. La firma digital es una herramienta tecnológica que permite garantizar la autoría e integridad de los documentos digitales, permitiendo que estos gocen de una característica que únicamente era propia de los documentos en papel. Una firma digital es un conjunto de datos asociados a un mensaje digital que permite garantizar la identidad del firmante y la integridad del mensaje. La firma digital no implica asegurar la confidencialidad del mensaje; un documento firmado digitalmente puede ser visualizado por otras personas, al igual que cuando se firma holográficamente. La firma digital es un instrumento con características técnicas y normativas, esto significa que existen procedimientos técnicos que permiten la creación y verificación de firmas digitales, y existen documentos normativos que respaldan el valor legal que dichas firmas poseen.

firma digital Objetivo Asegurar las comunicaciones electrónicas mediante mecánismos que garantizan: Autenticidad del documento Integridad del documento No negación de un documento Validación del documento Con la adición de encripción se puede garantizar la confidencialidad de un documento. La utilización de la firma digital asegura que el emisor y el receptor del mensaje (ya sean dos empresarios, un empresario y un consumidor o un ciudadano y la Administración) puedan realizar una transacción fiables. Para ello esos mensajes firmados electrónicamente: 1º.- Atribuyen de forma irrefutable la identidad del signatario. 2º.- Aseguran la integridad absoluta del mensaje, es decir, que el documento recibido sea exactamente el mismo que el emitido, sin que haya sufrido alteración alguna durante su transmisión. 3º.- Garantizan su origen de forma que el emisor del mensaje no pueda repudiarlo o negar en ningún caso que el mensaje ha sido enviado por él. 4º.- Por último, son confidenciales (el mensaje no ha podido ser leído por terceras personas).

Firma digital: Técnicas mas usadas Por lo general las técnicas usadas para implementar la firma digital son: Encriptación asimétrica RSA o Criptografía de Clave Pública. Algoritmo seguro de “hash” o digesto ( SHA ) ¿Por qué son necesarias las claves privadas y públicas?   En la elaboración de una firma digital y en su correspondiente verificación se utilizan complejos procedimientos matemáticos basados en criptografía asimétrica (también llamada criptografía de clave pública). En un sistema criptográfico asimétrico, cada usuario posee un par de claves propio, estas claves, llamadas clave privada y clave pública, son dos claves numéricas representadas generalmente por una larga secuencia de digitos y letras y que además cumplen ciertas propiedaes. La primer propiedad que cumplen es que la vinculación entre las claves es biunívoca, no habiendo dos claves privadas que se correspondan con una misma pública o viceversa. De esta forma el par de claves no puede ser elegido al azar, sin embargo, hay algoritmos, o programas, que se encargan de generar este par de claves. La ultima propiedad que cumplen este par de claves es que, a pesar de ser únicas, conociendo solamente una de las claves y el algoritmo que las genero es imposible deducir cual es la otra clave ni tampoco a partir de los documentos cifrados con cualquiera de las dos claves. El sistema opera de tal modo que la información cifrada con una de las claves sólo puede ser descifrada con la otra. De este modo si un usuario cifra determinada información con su clave privada, cualquier persona que conozca su clave pública podrá descifrar la misma. En consecuencia, si es posible descifrar un mensaje utilizando la clave pública correspondiente y sabiendo fehacientemente  que pertenece a una persona determinada, entonces ese mensaje solo pudo haber sido generado por esa persona utilizando la única clave privada que se corresponde con esa pública. Por este motivo una vez generado el par de claves, la clave pública debe ser entregada a una Autoridad Certificante, que actúa como tercera parte confiable, quien la incluirá en un certificado digital de manera de poder asegurar que esa clave pública pertenece a su titular y no a otra persona.

Encriptación asimétrica RSA o Criptografía de Clave Pública. En criptografía, RSA (Rivest, Shamir y Adleman) es un sistema criptográfico de clave pública desarrollado en 1977. Es el primer y más utilizado algoritmo de este tipo y es válido tanto para cifrar como para firmar digitalmente. ALGORITMO 1.- Es un sistema de clave pública, 2.- cada usuario posee dos claves de cifrado: una pública y otra privada. 3.- Cuando se quiere enviar un mensaje, 3.1.- el emisor busca la clave pública del receptor, 3.2.- cifra (lo hace dificil de comprender) su mensaje con esa clave, 3.3.- y una vez que el mensaje cifrado llega al receptor, 3.4.- El receptor se ocupa de descifrarlo usando su clave privada 4.- La seguridad se basa en mantener en secreto las llaves privadas. ¿Por qué son necesarias las claves privadas y públicas?   En la elaboración de una firma digital y en su correspondiente verificación se utilizan complejos procedimientos matemáticos basados en criptografía asimétrica (también llamada criptografía de clave pública). En un sistema criptográfico asimétrico, cada usuario posee un par de claves propio, estas claves, llamadas clave privada y clave pública, son dos claves numéricas representadas generalmente por una larga secuencia de digitos y letras y que además cumplen ciertas propiedaes. La primer propiedad que cumplen es que la vinculación entre las claves es biunívoca, no habiendo dos claves privadas que se correspondan con una misma pública o viceversa. De esta forma el par de claves no puede ser elegido al azar, sin embargo, hay algoritmos, o programas, que se encargan de generar este par de claves. La ultima propiedad que cumplen este par de claves es que, a pesar de ser únicas, conociendo solamente una de las claves y el algoritmo que las genero es imposible deducir cual es la otra clave ni tampoco a partir de los documentos cifrados con cualquiera de las dos claves. El sistema opera de tal modo que la información cifrada con una de las claves sólo puede ser descifrada con la otra. De este modo si un usuario cifra determinada información con su clave privada, cualquier persona que conozca su clave pública podrá descifrar la misma. En consecuencia, si es posible descifrar un mensaje utilizando la clave pública correspondiente y sabiendo fehacientemente  que pertenece a una persona determinada, entonces ese mensaje solo pudo haber sido generado por esa persona utilizando la única clave privada que se corresponde con esa pública. Por este motivo una vez generado el par de claves, la clave pública debe ser entregada a una Autoridad Certificante, que actúa como tercera parte confiable, quien la incluirá en un certificado digital de manera de poder asegurar que esa clave pública pertenece a su titular y no a otra persona.

Algoritmo seguro de “hash” o digesto ( SHA ) SHA (Secure Hash Algorithm, Algoritmo de Hash Seguro) es un sistema de funciones hash criptográficas relacionadas de la Agencia de Seguridad Nacional de los Estados Unidos y publicadas por el National Institute of Standards and Technology (NIST). ¿Por qué son necesarias las claves privadas y públicas?   En la elaboración de una firma digital y en su correspondiente verificación se utilizan complejos procedimientos matemáticos basados en criptografía asimétrica (también llamada criptografía de clave pública). En un sistema criptográfico asimétrico, cada usuario posee un par de claves propio, estas claves, llamadas clave privada y clave pública, son dos claves numéricas representadas generalmente por una larga secuencia de digitos y letras y que además cumplen ciertas propiedaes. La primer propiedad que cumplen es que la vinculación entre las claves es biunívoca, no habiendo dos claves privadas que se correspondan con una misma pública o viceversa. De esta forma el par de claves no puede ser elegido al azar, sin embargo, hay algoritmos, o programas, que se encargan de generar este par de claves. La ultima propiedad que cumplen este par de claves es que, a pesar de ser únicas, conociendo solamente una de las claves y el algoritmo que las genero es imposible deducir cual es la otra clave ni tampoco a partir de los documentos cifrados con cualquiera de las dos claves. El sistema opera de tal modo que la información cifrada con una de las claves sólo puede ser descifrada con la otra. De este modo si un usuario cifra determinada información con su clave privada, cualquier persona que conozca su clave pública podrá descifrar la misma. En consecuencia, si es posible descifrar un mensaje utilizando la clave pública correspondiente y sabiendo fehacientemente  que pertenece a una persona determinada, entonces ese mensaje solo pudo haber sido generado por esa persona utilizando la única clave privada que se corresponde con esa pública. Por este motivo una vez generado el par de claves, la clave pública debe ser entregada a una Autoridad Certificante, que actúa como tercera parte confiable, quien la incluirá en un certificado digital de manera de poder asegurar que esa clave pública pertenece a su titular y no a otra persona.

¿Qué no es una Firma Digital? Una firma manuscrita escaneada Una password o contraseña Un plano encriptado Algún procedimiento biométrico que dote a un documento de autenticidad únicamente Un documento digital que sólo garantice su integridad y no su autoría Un documento digital que sólo garantice su autoría y no su integridad

Implementación de firma digital Certificados privados Certificado institucional Herramientas de software

Criptografía Criptografía (del griego κρύπτω krypto, «oculto», y γράφως graphos, «escribir», literalmente «escritura oculta») parte de la criptología que se encarga de diseñar procedimientos de cifrado con el fin de recuperar la información original. Puede ser: Criptografía simétrica.- Agrupa aquellas funcionalidades criptográficas que se apoyan en el uso de una sola clave. Criptografía de clave pública o Criptografía asimétrica.- Agrupa aquellas funcionalidades criptográficas que se apoyan en el uso de parejas de claves compuesta por una clave pública , que sirve para cifrar, y por una clave privada , que sirve para descifrar.

Técnicas de cifrado El cifrado de datos es el proceso por el que una información legible se transforma mediante un algoritmo (llamado cifra) en información ilegible, llamada criptograma o secreto. Esta información ilegible se puede enviar a un destinatario con muchos menos riesgos de ser leída por terceras partes. El destinatario puede volver a hacer legible la información, descifrarla, introduciendo la clave del cifrado.

PGP y GPG Los dos algoritmos más utilizados son Pretty Good Privacy (PGP) y GNU Privacy Guard (GPG), utilizado para realizar la encriptación de archivos. La principal diferencia entre ellos es la licencia, ya que GPG utiliza una licencia libre GNU.

PGP Pretty Good Privacy o PGP es un programa es un programa cuya finalidad es proteger la información distribuida a través de Internet mediante el uso de criptografía de clave pública, así como facilitar la autenticación de documentos gracias a firmas digitales. PGP combina algunas de las mejores características de la criptografía simétrica y la criptografía asimétrica. PGP es un criptosistema híbrido.

Algoritmo de PGP Cuando un usuario emplea PGP para cifrar un texto plano, dicho texto es comprimido. La compresión de los datos fortalece la seguridad criptográfica y ahorra espacio. Después de comprimir el texto, PGP crea una clave de sesión secreta que solo se empleará una vez. Esta clave es un número aleatorio generado a partir de los movimientos del ratón y las teclas que se pulsen durante unos segundos con el propósito específico de generar la misma.  Esta clave de sesión se usa con un algoritmo simétrico convencional para cifrar el texto plano. Una vez que los datos se encuentran cifrados, la clave de sesión se cifra con la clave pública del receptor (criptografía asimétrica).  La clave de sesión cifrada se adjunta al texto cifrado y el conjunto es enviado al receptor. El descifrado sigue el proceso inverso. Las llaves empleadas en el cifrado asimétrico se guardan cifradas protegidas por contraseña en el disco duro. PGP guarda dichas claves en dos archivos separados llamados llaveros; uno para las claves públicas y otro para las claves privadas

GPG GNU Privacy Guard o GPG es una herramienta de cifrado y firmas digitales, que viene a ser un reemplazo del PGP (Pretty Good Privacy) pero con la principal diferencia que es software libre licenciado bajo la GPL. GPG utiliza el estándar del IETF (organización de normalización) denominado OpenPGP. GPG es estable, calificado como un software para el uso en producción y es comúnmente incluido en los sistemas operativos como FreeBSD, OpenBSD, NetBSD y últimamente con todas las distribuciones GNU/Linux. GPG es un software de cifrado híbrido que usa una combinación convencional de criptografía de claves simétricas para la rapidez y criptografía de claves públicas para el fácil compartimiento de claves seguras, típicamente usando recipientes de claves públicas para cifrar una clave de sesión que es usada una vez.

Funcionamiento de GPG GPG cifra los mensajes usando pares de claves individuales asimétricas generadas por los usuarios. Las claves públicas pueden ser compartidas con otros usuarios de muchas maneras. Siempre deben ser compartidas cuidadosamente para prevenir falsas identidades por la corrupción de las claves públicas. También es posible añadir una firma digital criptográfica a un mensaje, de esta manera la totalidad del mensaje y el remitente pueden ser verificados en caso de que se desconfíe de una correspondencia en particular. GnuPG también soporta algoritmos de cifrado simétricos. En su lugar usa una serie de algoritmos no patentados como TripleDES (3DES), AES y Blowfish. También es posible usar IDEA en GPG descargando un plugin extra, sin embargo este puede requerir una licencia para usuarios de algunos países en donde esté patentada IDEA.  

Ejemplos: Software GPG4win-2.1.1 Para windows, Email, y encriptación de certificados usando Kleopatra. http://www.gpg4win.org/download.html

BIBLIOGRAFIA Fuster Sabater, Amparo. Criptografía, Protección de datos y Aplicaciones. Mexico: Alfaomega. 364 pp ( QA76.9 A25 F87)