Defensa personal del correo electrónico

Paso 1.a Configura tu programa de correo electrónico con tu cuenta de correo

Abre tu programa de correo electrónico y sigue el asistente para configurar el programa con tu cuenta de correo electrónico.

Echa un vistazo a las siglas SSL, TLS, o STARTTLS a la derecha de los servidores cuando estés configurando tu cuenta. Si no las ves, aún así podrás ser capaz de utilizar cifrado, pero eso significa que la gente que está ejecutando el sistema de correo electrónico están dejando de lado los estándares de las empresas para proteger tu seguridad y privacidad. Te recomendamos que les envíes un correo electrónico amistoso pidiéndoles que habiliten SSL, TLS o STARTTLS para su servidor de correo. Ellos sabrán a qué te estarás refiriendo, así que es recomendable hacer la petición incluso si no eres un experto en estos sistemas de seguridad.

Paso 1.b Instala el complemento Enigmail para tu programa de correo electrónico

En el menú de tu programa de correo electrónico, selecciona Complementos (es posible que esté en Herramientas). Asegúrate de que la opción Extensiones esté seleccionada a la izquierda. ¿Puedes ver Enigmail? Si es así, puedes saltarte este paso.

En caso contrario, busca "Enigmail" usando la barra de búsqueda en la esquina superior derecha. Lo puedes instalar desde ahí. Reinicia tu programa de correo electrónico cuando lo hayas hecho.

Paso 2.a Crea un par de claves

El asistente de configuración de Enigmail debería iniciarse automáticamente. Si no lo hace, selecciona Enigmail → Asistente de configuración desde el menú de tu programa de gestor de correo. No es necesario que leas el texto de la ventana que aparece, a menos que quieras pero es recomendable leer el texto de las pantallas posteriores del asistente. Haz click en "Siguiente" con las opciones por defecto seleccionadas, excepto en estos casos, que están enumerados en el orden en que aparecen:

• En la pantalla titulada "Cifrado" selecciona "Cifrar todos mis mensajes por defecto, porque la privacidad es crucial para mí."
• En la pantalla titulada "Firmado" selecciona "No firmar mis mensajes por defecto."
• En la pantalla titulada "Selección de claves" selecciona "Quiero crear un nuevo par de claves para firmar y cifrar mi correo."
• En la pantalla titulada "Crear clave" ¡escoge una contraseña segura! Puedes hacerlo de manera manual, o puedes utilizar el método Diceware. Haciéndolo de forma manual es más rápido pero no tan seguro. Utilizar Diceware lleva más tiempo y necesitas de unos dados, pero crea una contraseña que es mucho más difícil de descifra para los atacantes. Para utilizarla, lee la sección "Crear una contraseña segura con Diceware" en este artículo en inglés de Micah Lee.

Si quieres escoger una contraseña de forma manual, escoge algo que puedas recordar con al menos doce caracteres de longitud, e incluye al menos una letra minúscula y mayúscula y al menos un número o símbolo de puntuación. Nunca escojas una contraseña que hayas utilizado en otro sitio. No utilices patrones reconocibles, como cumpleaños, números de teléfono, nombres de mascotas, letras de canciones, citas de libros y cosas similares.

El programa tardará algún tiempo en completar el siguiente paso, la pantalla "Creación de claves". Mientras esperas, puedes hacer otras cosas con tu computadora, como ver una película o navegar por la red. Cuanto más utilices el equipo en este momento, mas rápida será la creación de las claves.

Cuando aparezca la ventana de "Generación de claves completada", selecciona Generar Certificado y guárdalo en un lugar seguro en tu computadora (te recomendamos que crees una carpeta llamada "Certificado de Revocación" en tu carpeta de inicio y que lo guardes ahí). Este paso es esencial para la defensa de tu correo electrónico, como aprenderás mas en la Sección 55.

Paso 2.b Sube tu clave pública a un servidor de claves

En el menú de tu programa de correo electrónico, selecciona Enigmail → Administración de claves.

Haz clic con el botón derecho sobre tu clave y selecciona Subir claves públicas al servidor de claves. Usa el servidor de claves por defecto de la ventana emergente.

Ahora una persona que quiera mandarte un mensaje cifrado puede descargar tu clave pública de Internet. Existen múltiples servidores de claves que puedes seleccionar en el menú cuando subes tu clave, pero todos son copias unos de otros, por lo que no importa cuál de ellos utilices. Sin embargo, a veces tardan varias horas en sincronizarse cuando se sube una nueva clave.

GnuPG, OpenPGP, ¿Qué es esto?

En general, los términos GnuPG, GPG, GNU Privacy Guard, OpenPGP y PGP son usados de manera indistinta. Técnicamente, OpenPGP (Pretty Good Privacy) es el estándar de cifrado y GNU Privacy Guard (a menudo reducido a las siglas GPG o GnuPG) se refiere al programa que implementa dicho estándar. Enigmail es un complemento para el programa de gestor de correo electrónico que te ofrece una interfaz para usar GnuPG.

Paso 3.a Envíale a Edward tu clave pública

Este es un paso especial que no deberás realizar cuando estés manteniendo correspondencia con una persona real. En el menú de tu programa de correo electrónico, ve a Enigmail → Administración de claves. Deberías ver tu clave en la lista que aparece. Haz clic con el botón derecho sobre tu clave y selecciona Enviar claves públicas por correo. Esto creará un nuevo borrador de mensaje, como si hubieras hecho clic en el botón Redactar.

Dirige el mensaje a edward-es@fsf.org. Escribe por lo menos una palabra (la que quieras) en el asunto y en el cuerpo del correo, no le des a Enviar todavía.

El icono de un candado en la esquina superior izquierda debería estar en color amarillo, lo que significa que el cifrado está activo. Queremos enviar este primer correo especial sin cifrar, así que haz click con el ratón una vez sobre el icono para desactivarlo. El candado debería haberse puesto en color gris, con un punto azul sobre él (para alertarte de que los ajustes por defecto han sido cambiados). Una vez que el cifrado está desactivado, pulsa sobre Enviar.

Puede que Edward tarde dos o tres minutos en responder. Mientras tanto, quizás quieras seguir adelante y revisar la sección Úsalo bien de esta guía. Una vez que te responda, avanza al siguiente paso. De aquí en adelante, estarás haciendo lo mismo que cuando mantengas correspondencia con una persona real.

Cuando abres la respuesta de Edward, GnuPG te pide que introduzcas la contraseña antes de utilizar tu clave privada para descifralo.

Paso 3.b Envía un correo cifrado de prueba

Escribe un nuevo correo electrónico en tu programa de correo electrónico, dirigido a edward-es@fsf.org. Pon como asunto "Prueba de cifrado" o algo similar y escribe algo en el cuerpo.

El icono del candado en la esquina superior izquierda debería estar de color amarillo, esto significa que el cifrado está activado. Estará así por defecto de ahora en adelante

Al lado del candado, observarás el icono de un lápiz. Hablaremos sobre esto en un momento.

Haz clic en Enviar. Enigmail mostrará una ventana que dice "Los destinatarios no son válidos, no se confía en ellos o no se encuentran".

Para cifrar un correo electrónico para Edward necesitas su clave pública, por lo que Enigmail tiene que descargarla desde un servidor de claves. Haz clic en "Descargar las claves que falten" y usa el servidor por defecto de la ventana emergente que te pide seleccionar un servidor de claves. Una vez que encuentre la clave, selecciona la primera (el identificador de la clave empieza por C), y después selecciona Aceptar. Selecciona Aceptar en la siguiente ventana emergente.

Ahora estás de vuelta en la pantalla de "Los destinatarios no son válidos, no se confía en ellos o no se encuentran". Selecciona la clave de Edward en la lista y haz clic en Aceptar.

Como has cifrado este correo con la llave pública de Edward, se necesita la llave privada de Edward para descifrarlo. Edward es el único que posee su llave privada, nadie excepto él, puede descifrarlo.

Importante: Consejos de seguridad

Incluso si cifras tu correo electrónico, la línea Asunto no se cifra, así que no pongas información privada en ese apartado. Las direcciones de envío y recepción tampoco son cifradas, así que un sistema de vigilancia todavía puede averiguar con quien te estás comunicando. También, los agentes de vigilancia sabrán que estás utilizando GnuPG, incluso aunque no puedan adivinar qué estás diciendo. Cuando envías un adjunto, Enigmail te dará la opción de cifrarlo o no, de manera independiente al correo actual.

Paso 3.c Recibir una respuesta

Cuando Edward reciba tu correo electrónico, usará su clave privada para descifrarlo, luego usará tu clave pública (la que le enviaste en el Paso 3.A) y la usará para cifrar la respuesta que te envíe.

Puede que Edward tarde dos o tres minutos en responder. Mientras tanto, quizás quieras seguir adelante y revisar la sección Úsalo bien de esta guía.

Cuando recibas el correo electrónico de Edward y lo abras, Enigmail detectará automáticamente que está cifrado con tu clave pública, y usará tu clave privada para descifrarlo.

Observa la barra que Enigmail te muestra encima del mensaje, con información sobre el estado de la clave de Edward.

Paso 3.d Enviar un correo cifrado de prueba

GnuPG incluye una forma de firmar mensajes y archivos, verificando que provienen de ti y que no fueron manipulados por el camino. Estas firmas son más robustas que las análogas hechas a mano en un papel, estas son imposibles de falsificar, porque son imposibles de crear sin tu clave privada (otra razón para mantener tu clave privada a salvo).

Puedes firmar mensajes a cualquiera, así que es una gran forma de poner al tanto a la gente de que utilizas GnuPg y que pueden comunicarse contigo de manera segura. Si no utilizan GnuPG, serán capaces de leer tu mensaje y ver tu firma. Si ellos tienen GnuPG, serán capaces de verificar que tu firma es auténtica.

Para firmar un correo a Edward, redactale cualquier mensaje y haz click sobre el icono del lápiz, al lado del icono del candado, que se pondrá de color dorado. Si firmas un mensaje, GnuPG te preguntará por tu contraseña antes de enviarlo, porque necesita desbloquear tu clave privada para firmarlo.

Con los iconos del candado y el lápiz, puedes escoger si cada mensaje será cifrado, firmado, ambos o ninguno.

Paso 3.e Recibir una respuesta

Cuando Edward recibe tu correo, él usará tu clave pública (que le has enviado en el Paso 3.A) para verificar que tu firma es auténtica y el mensaje que has enviado no ha sido manipulado.

Edward puede tardar dos o tres minutos en responder. Mientras tanto, puedes seguir adelante y echar un vistazo a la sección Úsalo bien de esta guía.

La respuesta de Edward llegará cifrada, porque él prefiere usar el cifrado siempre que sea posible. Si todo ha ido de acuerdo al plan, debería decir "Tu firma fue verificada." Si tu prueba de firma de correo también fue cifrada, él lo mencionará eso primero.

Paso 4.a Firma una clave

En el menú de tu programa de correo electrónico, ve a Enigmail → Administración de claves.

Haz clic con el botón derecho sobre la clave pública de Edward y selecciona Firmar clave desde el menú contextual.

En la ventana que emerge, selecciona "No responderé" y haz clic en Aceptar.

Ahora deberías haber regresado al menú del Gestor de Claves. Selecciona Servidor de claves → Subir claves públicas y haz clic en Aceptar.

De hecho acabas de decir "Confío en que la clave pública de Edward realmente pertenece a Edward". Esto no significa mucho debido a que Edward no es una persona real, pero es una buena práctica.

Identificando claves: Huellas digitales e identificadores de claves

Las claves públicas de las personas se identifican habitualmente por su huella digital, que es una cadena de dígitos como F357AA1A5B1FA42CFD9FE52A9FF2194CC09A61E8 (para la clave de Edward). Puedes ver la huella digital de tu clave pública, y de otras claves públicas que han sido guardadas en tu computadora, yendo a Enigmail → Administración de claves en el menú de tu programa de correo electrónico, haciendo luego clic con el botón derecho en la clave y seleccionando Propiedades de la clave. Es una buena práctica compartir tu huella digital cada vez que compartas tu dirección de correo electrónico, así otras personas podrán verificar que tienen la clave pública correcta cuando descarguen tu clave desde un servidor de claves.

Puedes ver también que se hace referencia a las claves públicas mediante su identificador de clave, que consiste simplemente en los ocho últimos caracteres de la huella digital, como C09A61E8 para Edward. El identificador de clave es visible directamente desde la ventana de administración de claves. Este identificador de clave es como el nombre de pila de una persona (es un atajo útil pero puede no ser único para una clave dada), mientras que la huella digital realmente identifica una clave de manera única sin la posibilidad de confusión. Si solo tienes el identificador de la clave, puedes todavía buscar la clave (así como también su huella digital), como hiciste en el paso 3, pero si aparecen varias opciones, necesitarás la huella digital de la persona con la que estás tratando de comunicarte para ver cuál utilizar.

Importante: Qué tener en cuenta cuando firmas claves

Antes de firmar la clave de una persona, necesitas tener confianza de que realmente le pertenecen, y que es quien dice ser. Lo ideal, esta cinfidencia proviene de tener interacciones y conversaciones con ellos durante un tiempo, y siendo testigo de interacciones entre ellos y otras personas. Siempre que firmes una clave, pregúntale que muestre la huella pública completa, y no sólo el identificador de clave. Si sientes que es importante firmar la clave de alguien que acabas de conocer, también pide que te enseñen la tarjeta de identificación, y segúrate de que el nombre del identificador corresponde con el nombre que aparece en la clave pública. En Enigmail, responde honestamente en la ventana que aparece y te pregunta "¿Con cuanto cuidado ha comprobado que la clave que va a firmar pertenece actualmente a la(s) persona(s) indicada(s) arriba?"

¿Cuándo debería cifrar?¿Cuando debería firmar?

Mientras más mensajes cifres, mejor. Si solo cifras tus mensajes ocasionalmente, cada mensaje cifrado podría activar un marcador de mensaje importante en los sistemas de vigilancia. Si todo tu correo electrónico, o la mayor parte, está cifrado, las personas encargadas de vigilar no sabrán por dónde empezar. No estamos diciendo que cifrar solo algunos correos electrónicos no sea útil: es un gran comienzo y dificulta la vigilancia indiscriminada.

A menos que no quieras revelar tu propia identidad (lo que requiere de otras medidas protectoras), no existe una razón para no cifrar cada mensaje, independientemente de que este o no cifrado. Además de permitir a aquellos con GnuPG verificar que los mensajes provienen de ti, firmar es una manera no intrusiva de recordar a todo el mundo que utilizas GnuPG y muestras apoyo por las comunicaciones seguras. Si a menudo mandas mensajes cifrados a gente que no está familiarizado con GnuPG, también está bien incluir un enlace a esta guía en la firma estándar de tu correo (la firma en texto plano, no en la firma criptográfica).

No te fíes de las claves sin validez

GnuPG hace que el correo electrónico sea más seguro, pero sigue siendo importante estar alerta ante las claves sin validez, que podrían haber caído en las manos equivocadas. El correo electrónico cifrado con claves sin validez podría ser leído por los programas de vigilancia.

En tu programa de correo electrónico, ve al primer correo electrónico que Edward te envió. Debido a que Edward lo cifró con tu clave pública, tendrá un mensaje de Enigmail en la parte superior, que probablemente dirá "Enigmail: Parte del mensaje cifrado".

Cuando uses GnuPG, acostúmbrate a mirar esa barra. El programa te avisará si recibes un correo electrónico cifrado con una clave en la que no se pueda confiar.

Copia tu certificado de revocación a un sitio seguro

¿Recuerdas cuando creaste tus claves y guardaste el certificado de revocación que creó GnuPG? Es hora de copiar ese certificado en el dispositivo digital de almacenamiento más seguro que tengas: lo ideal es una memoria USB, un disco compacto o un disco duro almacenado en un lugar seguro de tu casa, no en un dispositivo que lleves contigo normalmente.

Si tus claves privadas se pierden o son robadas en algún momento, necesitarás este archivo con el certificado para que los demás sepan que ya no estás utilizando este par de claves.

Importante: actúa con rapidez si alguien consigue tu clave privada

Si pierdes tu clave privada u otra persona se hace con ella (robándola o entrando en tu computadora), es importante que la revoques inmediatamente antes de que otra persona la utilice para leer tu correo electrónico cifrado. Esta guía no cubre cómo revocar una clave, pero puedes seguir las instrucciones (en inglés). Una vez hayas realizado la revocación, envíale un correo electrónico a todas las personas con las que habitualmente utilizas tu clave para asegurarte de que lo sepan, incluyendo una copia de tu nueva clave pública.

"Webmail" y GnuPG

Cuando utilizas un navegador web para acceder a tu correo, estás utilizando "webmail", un programa de correo electrónico almacenado en un sitio web lejano. A diferencia con el "webmail", tu programa de correo electrónico de tu equipo se ejecuta en tu propio ordenador. Aunque "webmail" no puede descifrar correos cifrados, todavía te lo mostrará de forma cifrada. Si de manera principal utilizas el "webmail", sabrás cómo abrir tu cliente de correo cuando recibas un correo cifrado.