Defensa personal del correo electrónico

Paso 1.a Configura tu programa de correo electrónico con tu cuenta de correo

Abre el programa de correo electrónico y sigue el asistente (tutorial paso a paso)que configurará su cuenta de correo electrónico. Por lo general, comienza desde "Configuración de la cuenta" → "Agregar cuenta de correo". Debería obtener la configuración para los ajustes del servidor de su administrador de sistemas o la sección de ayuda de su cuenta de correo electrónico.

Paso 1.b Prepara tu terminal e instala GnuPG

Si estás utilizando un equipo con GNU/Linux, ya deberías tener instalado GnuPG y puedes ir al Paso 2.

Sin embargo, si está utilizando un equipo con macOS o Windows, primero debesinstalar el programa GnuPG. Selecciona a continuación tu sistema operativo y sigue lospasos. Para el resto de los pasos de esta guía, los pasos son los mismos paratodos los sistemas operativos.

GnuPG, OpenPGP, ¿Qué es esto?

En general, los términos GnuPG, GPG, GNU Privacy Guard, OpenPGP y PGP son usados de manera indistinta. Técnicamente, OpenPGP (Pretty Good Privacy) es el estándar de cifrado y GNU Privacy Guard (a menudo reducido a las siglas GPG o GnuPG) se refiere al programa que implementa dicho estándar. La mayoría de programas de correo electrónico ofrecen una interfaz para usar GnuPG. También hay una versión más reciente de GnuPG llamada GnuPG2.

Paso 2.a Crea un par de claves

Crea tu par de claves

Abre un terminal utilizando ctrl + alt + t (en GNU/linux), o búscala entre tus aplicaciones, y utiliza el siguiente código para crear tu par de claves:

Utilizaremos la línea de comandos en un terminal para crear un par de claves utilizando el programa GnuPG. Debería estar instalado un terminal en tu sistema operativo GNU/linux, si estás utilizando sistemas macOS o Windows OS, utiliza los programas "Terminal" (macOS) o "PowerShell" (Windows) que también fueron utilizados en la sección 1.

# gpg --full-generate-key para comenzar el proceso.

# Para responder qué tipo de clave te gustaría crear, selecciona la opción predeterminada 1 RSA y RSA.

# Introduce la siguiente longitud de clave: 4096 para que sea una clave robusta.

# Escoge la fecha de expiración, sugerimos 2y (2 años).

Siga las indicaciones para continuar con la configuración de tus datos personales.

Establece tu frase de paso

En la pantalla titulada "Passphrase" (o frase de paso) ¡escoge una contraseña segura! Puedes hacerlo de manera manual, o puedes utilizar el método Diceware. Haciéndolo de forma manual es más rápido pero no tan seguro. Utilizar Diceware lleva más tiempo y necesitas unos dados, pero crea una contraseña que es mucho más difícil de descifrar para los atacantes. Para utilizarla, lee la sección "Crear una contraseña segura con Diceware" en este artículo en inglés de Micah Lee.

Si quieres escoger una frase de paso de forma manual, escoge algo que puedas recordar con al menos doce caracteres de longitud, e incluye al menos una letra minúscula y mayúscula y al menos un número o símbolo de puntuación. Nunca escojas una contraseña que hayas utilizado en otro sitio. No utilices patrones reconocibles, como cumpleaños, números de teléfono, nombres de mascotas, letras de canciones, citas de libros y cosas similares.

Paso 2.b Algunos pasos importantes a seguir después de la creación

Sube tu clave a un servidor de claves

Vamos a subir tu clave a un servidor de claves, así si alguien quiere mandarte un mensaje cifrado puede descargar tu clave pública de Internet. Existen múltiples servidores de claves que puedes seleccionar en el menú cuando subes tu clave, pero todos son copias unos de otros, por lo que no importa cuál de ellos utilices. Sin embargo, a veces tardan varias horas en sincronizarse cuando se sube una nueva clave.

# Copia tu keyID (identificador de clave) gnupg --list-key [tu@correo] mostrará información de tu clave pública ("pub"), incluyendo tu identificador de clave (keyID), que es una lista única de números y letras. Copia este identificador, para poder utilizarlo en el siguiente comando.

# Sube tu clave a un servidor: gpg --send-key [identificador]

Exporta tu clave a un archivo

Utiliza el siguiente comando para exportar tu clave secreta para así poder importarla en tu programa de correo electrónico en el siguiente paso. Para evitar que tu clave pueda ser comprometida, almacena el archivo en un sitio seguro y asegúrate que si es transferida, se hace de una manera confiable. Para exportar tus claves se puede hacer con los siguiente comandos:

$ gpg --export-secret-keys -a [keyid] > mi_clave_secreta.asc
$ gpg --export -a [keyid] > mi_clave_pública.asc

Genera un certificado de revocación

En el caso de que pierdas tu clave o si es comprometida, querrás generar un certificado y escoger guardarlo en un lugar seguro de momento en tu computadora (por favor consulte el paso 6.C para consultar cómo guardar de manera segura tu certificado de revocación). Este paso es esencial para tu autodefensa, y también aprenderás más en la Sección 5.

# Copia tu keyID (identificador de clave) gnupg --list-key [tu@correo] mostrará información de tu clave pública ("pub"), incluyendo tu identificador de clave (keyID), que es una lista única de números y letras. Copia este identificador, para poder utilizarlo en el siguiente comando.

# Genera un certificado de revocación: gpg --gen-revoke --output revoke.asc [identificador]

# Te pedirá que des una razón para la revocación, te recomendamos utilizar 1 "la clave ha sido comprometida"

# You don't have to fill in a reason, but you can, then press enter for an empty line, and confirm your selection.

Paso 3.a Configura tu correo electrónico con cifrado

Cuando hayas configurado tu correo electrónico con cifrado, podrás comenzar a contribuir con el tráfico cifrado en internet. Primero haremos que el cliente de correo electrónico importe tu clave secreta y también aprenderemos cómo obtener las claves públicas de otras personas de servidores para poder enviar y recibir correos electrónicos cifrados.

#Abre tu cliente de correo electrónico y usa "Herramientas" → Administrador de claves OpenPGP

# En "Archivo" → Importar clave(s) secreta(s) desde archivo

# Selecciona el archivo que guardaste con el nombre [mi_clave_secreta.asc] en el paso paso 3.b cuando exportaste tu clave

# Desbloquea con tu frase de paso

# Verás que se muestra una ventana de confirmación con éxito "Clave OpenPGP importada con éxito"

# Ve a "Editar" (en Icedove) o "Herramientas" (en Thunderbird) → "Configuración de cuenta" → "Cifrado extremo a extremo" y asegúrate de que tu clave está importada y selecciona Tratar esta clave como clave personal.

Step 4.a Send Edward your public key

This is a special step that you won't have to do when corresponding with real people. In your email program's menu, go to "Tools" → "OpenPGP Key Manager." You should see your key in the list that pops up. Right click on your key and select Send Public Keys by Email. This will create a new draft message, as if you had just hit the "Write" button, but in the attachment you will find your public keyfile.

Dirige el mensaje a edward-es@fsf.org. Escribe por lo menos una palabra (la que quieras) en el asunto y en el cuerpo del correo, no le des a Enviar todavía.

We want Edward to be able to open the email with your keyfile, so we want this first special message to be unencrypted. Make sure encryption is turned off by using the dropdown menu "Security" and select Do Not Encrypt. Once encryption is off, hit Send.

It may take two or three minutes for Edward to respond. In the meantime, you might want to skip ahead and check out the Use it Well section of this guide. Once you have received a response, head to the next step. From here on, you'll be doing just the same thing as when corresponding with a real person.

When you open Edward's reply, GnuPG may prompt you for your passphrase before using your private key to decrypt it.

Step 4.b Send a test encrypted email

Get Edward's key

To encrypt an email to Edward, you need its public key, so now you'll have to download it from a keyserver. You can do this in two different ways:

Option 1. In the email answer you received from Edward as a response to your first email, Edward's public key was included. On the right of the email, just above the writing area, you will find an "OpenPGP" button that has a lock and a little wheel next to it. Click that, and select Discover next to the text: "This message was sent with a key that you don't have yet." A popup with Edward's key details will follow.

Option 2. Open your OpenPGP manager and under "Keyserver" choose Discover Keys Online. Here, fill in Edward's email address, and import Edward's key.

The option Accepted (unverified) will add this key to your key manager, and now it can be used to send encrypted emails and to verify digital signatures from Edward.

In the popup window confirming if you want to import Edward's key, you'll see many different emails that are all associated with its key. This is correct; you can safely import the key.

Since you encrypted this email with Edward's public key, Edward's private key is required to decrypt it. Edward is the only one with its private key, so no one except Edward can decrypt it.

Send Edward an encrypted email

Escribe un nuevo correo electrónico en tu programa de correo electrónico, dirigido a edward-es@fsf.org. Pon como asunto "Prueba de cifrado" o algo similar y escribe algo en el cuerpo.

This time, make sure encryption is turned on by using the dropdown menu "Security" and select Require Encryption. Once encryption is on, hit Send.

Importante: Consejos de seguridad

Even if you encrypt your email, the subject line is not encrypted, so don't put private information there. The sending and receiving addresses aren't encrypted either, so a surveillance system can still figure out who you're communicating with. Also, surveillance agents will know that you're using GnuPG, even if they can't figure out what you're saying. When you send attachments, you can choose to encrypt them or not, independent of the actual email.

For greater security against potential attacks, you can turn off HTML. Instead, you can render the message body as plain text. In order to do this in Icedove or Thunderbird, go to View > Message Body As > Plain Text.

Step 4.c Receive a response

When Edward receives your email, it will use its private key to decrypt it, then reply to you.

It may take two or three minutes for Edward to respond. In the meantime, you might want to skip ahead and check out the Use it Well section of this guide.

Edward will send you an encrypted email back saying your email was received and decrypted. Your email client will automatically decrypt Edward's message.

The OpenPGP button in the email will show a little green checkmark over the lock symbol to show the message is encrypted, and a little orange warning sign which means that you have accepted the key, but not verified it. When you have not yet accepted the key, you will see a little question mark there. Clicking the prompts in this button will lead you to key properties as well.

Step 4.d Send a signed test email

GnuPG incluye una forma de firmar mensajes y archivos, verificando que provienen de ti y que no fueron manipulados por el camino. Estas firmas son más robustas que las análogas hechas a mano en un papel, estas son imposibles de falsificar, porque son imposibles de crear sin tu clave privada (otra razón para mantener tu clave privada a salvo).

Puedes firmar mensajes a cualquiera, así que es una gran forma de poner al tanto a la gente de que utilizas GnuPG y que pueden comunicarse contigo de manera segura. Si no utilizan GnuPG, serán capaces de leer tu mensaje y ver tu firma. Si ellos tienen GnuPG, serán capaces de verificar que tu firma es auténtica.

To sign an email to Edward, compose any message to the email address and click the pencil icon next to the lock icon so that it turns gold. If you sign a message, GnuPG may ask you for your password before it sends the message, because it needs to unlock your private key for signing.

In "Account Settings" → "End-To-End-Encryption" you can opt to add digital signature by default.

Step 4.e Receive a response

When Edward receives your email, he will use your public key (which you sent him in Step 3.A) to verify the message you sent has not been tampered with and to encrypt a reply to you.

It may take two or three minutes for Edward to respond. In the meantime, you might want to skip ahead and check out the Use it Well section of this guide.

La respuesta de Edward llegará cifrada, porque él prefiere usar el cifrado siempre que sea posible. Si todo ha ido de acuerdo al plan, debería decir "Tu firma fue verificada." Si tu prueba de firma de correo también fue cifrada, él lo mencionará eso primero.

When you receive Edward's email and open it, your email client will automatically detect that it is encrypted with your public key, and then it will use your private key to decrypt it.

Step 5.a Sign a key

In your email program's menu, go to OpenPGP Key Manager and select Key properties by right clicking on Edward's key.

Under "Your Acceptance," you can select Yes, I've verified in person this key has the correct fingerprint".

You've just effectively said "I trust that Edward's public key actually belongs to Edward." This doesn't mean much because Edward isn't a real person, but it's good practice, and for real people it is important. You can read more about signing a person's key in the check IDs before signing section.

Identificando claves: Huellas digitales e identificadores de claves

People's public keys are usually identified by their key fingerprint, which is a string of digits like F357AA1A5B1FA42CFD9FE52A9FF2194CC09A61E8 (for Edward's key). You can see the fingerprint for your public key, and other public keys saved on your computer, by going to OpenPGP Key Management in your email program's menu, then right clicking on the key and choosing Key Properties. It's good practice to share your fingerprint wherever you share your email address, so that people can double-check that they have the correct public key when they download yours from a keyserver.

You may also see public keys referred to by a shorter keyID. This keyID is visible directly from the Key Management window. These eight character keyIDs were previously used for identification, which used to be safe, but is no longer reliable. You need to check the full fingerprint as part of verifying you have the correct key for the person you are trying to contact. Spoofing, in which someone intentionally generates a key with a fingerprint whose final eight characters are the same as another, is unfortunately common.

Importante: Qué tener en cuenta cuando firmas claves

Before signing a person's key, you need to be confident that it actually belongs to them, and that they are who they say they are. Ideally, this confidence comes from having interactions and conversations with them over time, and witnessing interactions between them and others. Whenever signing a key, ask to see the full public key fingerprint, and not just the shorter keyID. If you feel it's important to sign the key of someone you've just met, also ask them to show you their government identification, and make sure the name on the ID matches the name on the public key.

¿Cuándo debería cifrar?¿Cuando debería firmar?

Mientras más mensajes cifres, mejor. Si solo cifras tus mensajes ocasionalmente, cada mensaje cifrado podría activar un marcador de mensaje importante en los sistemas de vigilancia. Si todo tu correo electrónico, o la mayor parte, está cifrado, las personas encargadas de vigilar no sabrán por dónde empezar. No estamos diciendo que cifrar solo algunos correos electrónicos no sea útil: es un gran comienzo y dificulta la vigilancia indiscriminada.

A menos que no quieras revelar tu propia identidad (lo que requiere de otras medidas protectoras), no existe una razón para no cifrar cada mensaje, independientemente de que este o no cifrado. Además de permitir a aquellos con GnuPG verificar que los mensajes provienen de ti, firmar es una manera no intrusiva de recordar a todo el mundo que utilizas GnuPG y muestras apoyo por las comunicaciones seguras. Si a menudo mandas mensajes cifrados a gente que no está familiarizado con GnuPG, también está bien incluir un enlace a esta guía en la firma estándar de tu correo (la firma en texto plano, no en la firma criptográfica).

No te fíes de las claves sin validez

GnuPG hace que el correo electrónico sea más seguro, pero sigue siendo importante estar alerta ante las claves sin validez, que podrían haber caído en las manos equivocadas. El correo electrónico cifrado con claves sin validez podría ser leído por los programas de vigilancia.

In your email program, go back to the first encrypted email that Edward sent you. Because Edward encrypted it with your public key, it will have a green checkmark a at the top "OpenPGP" button.

When using GnuPG, make a habit of glancing at that button. The program will warn you there if you get an email signed with a key that can't be trusted.

Copia tu certificado de revocación a un sitio seguro

Remember when you created your keys and saved the revocation certificate that GnuPG made? It's time to copy that certificate onto the safest storage that you have -- a flash drive, disk, or hard drive stored in a safe place in your home could work, not on a device you carry with you regularly. The safest way we know is actually to print the revocation certificate and store it in a safe place.

Si tus claves privadas se pierden o son robadas en algún momento, necesitarás este archivo con el certificado para que los demás sepan que ya no estás utilizando este par de claves.

IMPORTANT: ACT SWIFTLY if someone gets your private key

If you lose your private key or someone else gets a hold of it (say, by stealing or cracking your computer), it's important to revoke it immediately before someone else uses it to read your encrypted email or forge your signature. This guide doesn't cover how to revoke a key, but you can follow these instructions. After you're done revoking, make a new key and send an email to everyone with whom you usually use your key to make sure they know, including a copy of your new key.

"Webmail" y GnuPG

Cuando utilizas un navegador web para acceder a tu correo, estás utilizando "webmail", un programa de correo electrónico almacenado en un sitio web lejano. A diferencia con el "webmail", tu programa de correo electrónico de tu equipo se ejecuta en tu propio ordenador. Aunque "webmail" no puede descifrar correos cifrados, todavía te lo mostrará de forma cifrada. Si de manera principal utilizas el "webmail", sabrás cómo abrir tu cliente de correo cuando recibas un correo cifrado.

Make your public key part of your online identity

First add your public key fingerprint to your email signature, then compose an email to at least five of your friends, telling them you just set up GnuPG and mentioning your public key fingerprint. Link to this guide and ask them to join you. Don't forget that there's also an awesome infographic to share.

Start writing your public key fingerprint anywhere someone would see your email address: your social media profiles, blog, Website, or business card. (At the Free Software Foundation, we put ours on our staff page.) We need to get our culture to the point that we feel like something is missing when we see an email address without a public key fingerprint.