¿Qué es el cifrado PGP y cómo funciona?

Pretty Good Privacy (PGP) es un programa de cifrado y descifrado de datos que ofrece privacidad criptográfica y autenticación. Esta guía explica los principios del cifrado PGP, sus aplicaciones para proteger correos electrónicos y archivos y cómo refuerza la confidencialidad de los datos.

Conozca el proceso de gestión de claves y las mejores prácticas para implementar PGP en sus comunicaciones. Comprender el cifrado PGP es esencial para las personas y organizaciones que buscan proteger información confidencial contra el acceso no autorizado.

¿Cómo funciona el cifrado PGP?

El cifrado PGP utiliza criptografía de clave pública, criptografía de clave simétrica y funciones hash para ocultar y verificar los datos entre el remitente y el destinatario. Primero, definamos algunos términos que, en conjunto, explican cómo funciona:

• Criptografía de clave simétrica – El remitente y el destinatario de un mensaje tienen la misma clave, es decir, una clave simétrica, que se utiliza para cifrar y descifrar el mensaje. Es un método más sencillo y mucho más rápido que la criptografía de clave pública. Sin embargo, las claves públicas deben generarse y luego intercambiarse para poder usarse. Hacerlo en la Internet pública es inaceptable: sería como si un espía publicara su clave de cifrado en un tablón de anuncios público en lugar de entregarla en secreto.
• Hashing o función hash – PGP crea un hash, o resumen del mensaje, a partir de un correo electrónico y luego genera una firma digital con la clave privada del remitente. Esta firma sirve para verificar que el mensaje procede del remitente correcto.

¿Cómo funciona el cifrado PGP?

• El remitente genera una clave de cifrado simétrica aleatoria y la utiliza para cifrar los datos que va a enviar.
• La clave de cifrado simétrica se cifra con la clave pública del destinatario y se le envía cifrada. La clave pública nunca se comparte en la Internet abierta.
• Los datos, cifrados con la clave simétrica, se envían al destinatario.
• El destinatario recibe tanto los datos cifrados de forma simétrica como la clave simétrica cifrada de forma asimétrica mediante el par de claves pública y privada. Así, se comparten los datos y la clave simétrica sin exponer información utilizable en la Internet pública.
• El destinatario descifra entonces la clave de cifrado con su clave privada y los datos con la clave de cifrado simétrica generada por el remitente.

Aunque el proceso parezca complicado, es necesario para transmitir datos privados por espacios públicos sin un intercambio previo de claves fuera de línea. Cabe destacar que la clave simétrica, también llamada clave de sesión, se utiliza una sola vez para cifrar y descifrar y luego se descarta para evitar futuros problemas de seguridad.

Ejemplos de cifrado PGP en acción: herramientas de cifrado PGP actuales

Aunque el proceso de cifrado PGP pueda parecer complejo, existen varios servicios y programas que lo simplifican. Algunos ejemplos destacados son:

Criptografía de clave pública – El receptor de un mensaje genera una clave privada que se mantiene en secreto y una clave pública que se puede compartir con todo el mundo. Cuando alguien cifra un mensaje con esta clave pública, solo la clave privada del receptor puede descifrarlo. Para que quede claro: una clave pública solo puede cifrar un mensaje, pero no puede descifrarlo. Este concepto matemático unidireccional se conoce como función trampa.

Criptografía de clave simétrica – Tanto el remitente como el destinatario de un mensaje tienen la misma clave (es decir, simétrica) que se utiliza para cifrar y descifrar un mensaje. Se trata de una metodología más sencilla y mucho más rápida que su homóloga de clave pública. Sin embargo, las claves públicas deben generarse y luego intercambiarse para su uso. Hacerlo en la Internet pública es inaceptable, ya que es como si un espía publicara su clave de cifrado en un tablón de anuncios público (físico) en lugar de entregarla de forma sigilosa.

Hash o función hash – PGP crea un hash, o resumen del mensaje, a partir de un correo electrónico y, a continuación, crea una firma digital utilizando la clave privada del remitente. Esto se puede utilizar para verificar que el mensaje procede del remitente correcto.

• Complementos de navegador para correo web – Gmail, GMX, Outlook.com, mailbox.org
• Proveedores de correo web (sin necesidad de complementos) – ProtonMail, Mailfence

Por ejemplo, con ProtonMail, los correos electrónicos entre dos usuarios del servicio se cifran automáticamente de extremo a extremo. También puede enviar correos electrónicos protegidos con contraseña a quienes utilizan otros servicios de correo.

Si las opciones actuales no se ajustan a sus necesidades, tenga en cuenta que, al ser un estándar abierto, en teoría es posible desarrollar su propio servicio de correo electrónico u otra herramienta de cifrado con OpenPGP. Esto requeriría mucho tiempo y esfuerzo, por lo que quizá algún servicio existente se adapte a sus necesidades.

Con 33 años de historia, ¿se puede vulnerar el cifrado PGP?

El receptor genera primero un par de claves pública y privada. La clave privada se mantiene en secreto, mientras que la clave pública se comparte con el remitente, con la suposición implícita de que cualquier otra persona puede interceptarla.

El remitente genera una clave de cifrado simétrica aleatoria y la utiliza para cifrar los datos que se van a enviar.

La clave de cifrado simétrica se cifra utilizando la clave pública del receptor y se envía (cifrada) al receptor. La clave pública nunca se comparte en Internet.

Los datos, cifrados con la clave simétrica, se envían al destinatario.

El destinatario recibe tanto los datos cifrados (simétricamente) como la clave simétrica cifrada (asimétricamente) pública-privada. De esta manera, tanto los datos como la clave simétrica se comparten sin que haya datos utilizables en Internet.

A continuación, el destinatario descifra la clave de cifrado utilizando su clave privada y los datos utilizando la clave de cifrado simétrica generada por el remitente.

Aunque el cifrado PGP está consolidado y es antiguo incluso para los estándares de Internet, se ha revisado y actualizado constantemente a lo largo de su historia. Podría decirse que su origen de código abierto y su perfeccionamiento lo hacen más fiable que cualquier otro método de cifrado disponible públicamente en la actualidad.

Al mismo tiempo, las herramientas de hacking habituales, como los keyloggers y el malware, pueden comprometer un sistema informático antes de que se cifren los mensajes. Aunque los mensajes cifrados sean seguros, también debe considerar la protección de su sistema informático y del sistema de cada persona con la que se comunica frente a ataques externos.

Algunos también han planteado que el desarrollo de la computación cuántica práctica volverá obsoleto el cifrado tradicional. Aunque existen formas teóricas de afrontar este problema (también teórico), un cifrado seguro hoy podría dejar de serlo mañana, ya sea por la computación cuántica, vulnerabilidades desconocidas o el robo de una clave de cifrado privada, o porque alguien se vea obligado a revelarla.

Por lo tanto, el cifrado PGP es una medida de seguridad razonable hoy en día. Sin embargo, sigue sin estar claro si los datos transmitidos permanecerán seguros para siempre.

PGP y el estándar OpenPGP para aumentar la seguridad en internet

Para transportar mensajes del punto A al B, PGP y el estándar OpenPGP ofrecen un nivel razonable de protección contra la lectura de mensajes interceptados (salvo que la computación cuántica haga posible descifrarlos). Al mismo tiempo, la seguridad de los mensajes durante el transporte es solo una parte de la historia.

Si un dispositivo se ve comprometido en cualquiera de los extremos de la comunicación por alguna de las múltiples vías posibles, los mensajes también pueden verse comprometidos. Imagine que se instala un keylogger u otro malware en su dispositivo. Aunque OpenPGP cifre las comunicaciones entre el origen y el destino, si el mensaje ya se ha visto comprometido, la seguridad que ofrece será, en el mejor de los casos, incompleta. Para proteger su red y sus dispositivos, SentinelOne ofrece una plataforma de ciberseguridad con IA que protege a su organización frente a las amenazas y es la más avanzada del mundo.

Múltiples clientes de correo electrónico – Windows, MacOS, Android, iOS, Linux

Complementos para navegadores de correo web – Gmail, GMX, Outlook.com, mailbox.org

Proveedores de correo web (sin necesidad de complementos) – ProtonMail, Mailfence

Conclusión

El cifrado PGP se utiliza desde hace más de treinta años, tanto como programa informático como conjunto de prácticas de cifrado estandarizadas. Emplea criptografía de clave pública y de clave simétrica para transmitir mensajes seguros por internet, además de funciones hash para verificar que un mensaje es auténtico y no ha sido alterado. El cifrado PGP ha evolucionado con la tecnología para hacer frente a nuevas amenazas, por lo que sigue considerándose seguro hoy en día.

Si las ofertas actuales no se ajustan a sus necesidades, tenga en cuenta que, al tratarse de un estándar abierto, en teoría es posible desarrollar su propio servicio de correo electrónico o "dispositivo" de cifrado utilizando OpenPGP. Al mismo tiempo, esto requeriría mucho tiempo y esfuerzo, por lo que es de esperar que alguno de los servicios existentes en la actualidad se adapte a sus necesidades.

A sus 33 años, ¿se puede piratear el cifrado PGP?

Aunque el cifrado PGP está bien establecido y es antiguo incluso en términos de Internet, se ha revisado y actualizado constantemente a lo largo de su historia. Se podría argumentar que su herencia de código abierto y su perfeccionamiento lo hacen más fiable que quizás cualquier otro método de cifrado disponible públicamente en la actualidad.

Al mismo tiempo, las herramientas de piratería informática generales, como los keyloggers y el malware, pueden comprometer un sistema informático en el punto de cifrado. Si bien los mensajes cifrados pueden ser seguros, también hay que tener en cuenta la seguridad del sistema informático frente a ataques externos, así como la de su socio o socios de comunicación.

Algunos también han teorizado que el desarrollo de la computación cuántica práctica hará que el cifrado tradicional quede obsoleto. Aunque existen formas teóricas de combatir este problema (teórico), el cifrado seguro de hoy puede no serlo mañana, ya sea a través de la computación cuántica, vulnerabilidades desconocidas o simplemente robando u obligando a alguien a revelar una clave de cifrado privada.

Por lo tanto, el cifrado PGP es una medida de seguridad razonable en la actualidad. Sin embargo, si los datos transmitidos serán seguros para siempre es una pregunta sin respuesta.

PGP, estándar OpenPGP para una mayor seguridad en Internet

Para el transporte de mensajes del punto A al punto B, PGP y el estándar OpenPGP ofrecen una protección razonable para que los mensajes no puedan leerse si son interceptados (salvo que se produzca el advenimiento del descifrado mediante computación cuántica). Al mismo tiempo, la seguridad de los mensajes en tránsito es solo una parte de la historia.

Si un dispositivo se ve comprometido en cualquiera de los extremos de la comunicación a través de cualquier número de rutas, los mensajes también pueden verse comprometidos. Piense en una situación en la que se instala un keylogger u otro malware en su dispositivo. Aunque OpenPGP podría cifrar las comunicaciones entre el origen y el destino, si el mensaje ya se ha visto comprometido, ofrece, en el mejor de los casos, una seguridad incompleta. Para proteger su red y sus dispositivos, SentinelOne proporciona una plataforma que protege a su organización de las amenazas, utilizando la plataforma de ciberseguridad basada en IA más avanzada del mundo.

Conclusión

El cifrado PGP se ha utilizado durante más de treinta años, tanto como programa de software como conjunto estándar de prácticas de cifrado. Utiliza criptografía de clave pública y criptografía de clave simétrica para transferir mensajes seguros a través de Internet, junto con hash para verificar que un mensaje es auténtico y no ha sido alterado. El cifrado PGP ha evolucionado con los cambios tecnológicos para hacer frente a nuevas amenazas, lo que permite que siga considerándose seguro en la actualidad.

"