Email Self-Defense

Paso 1.a Configura tu programa de correo electrónico con tu cuenta de correo(si todavía no está)

Abre tu programa de correo electrónico y sigue al asistente para configurar el programa con tu cuenta de correo electrónico.

Paso 1.b Instala el plugin Enigmail para tu programa de correo electrónico

En el menú de tu programa de correo electrónico, selecciona Complementos(es posible que este en la sección de Herramientas). Asegurate de que Extensiones este seleccionada en la izquierda. ¿Puedes ver Enigmail? si es asi, entonces salta este paso.

Caso contrario, busca "Enigmail" usando la barra de busqueda en la esquina superior derecha. You can take it from here. Reinicia tu programa de correo electrónico cuando termines.

Paso 2.a Crear un par de llaves

En el menú de tu programa de e-mail, selecciona OpenPGP -> Asistente de configuración. No necesitas leer el texto en la ventana que emerge, a menos que lo quieras, pero es bueno leer el texto en las ultimas pantallas del asistente.

En la segunda pantalla titulada "Signing", selecciona "No, quiero crear reglas por destinatario para los e-mails que necesitan ser firmados."

Usar las opciones por defecto hasta llegar a la pantalla titulada "Crear llave."

En la pantalla titulada "Crear llave", elegir una contraseña segura! Tu contraseña debería ser de al menos 12 caracteres, e incluir al menos una letra minúscula y una mayúscula, y al menos un numero o símbolo de puntuación. No olvides la contraseña, o todo este trabajo sera en vano!.

El programa tomara un pequeño tiempo mientras termina el siguiente paso, la pantalla de "Creación de llave". Mientras esperas, puedes hacer otras cosas con tu computadora, como mirar una película o navegar por la red. Cuanto mas utilices el equipo en este momento, mas rápida será la creación de la llave.

Cuando aparezca la pantalla de confirmación de OpenPGP , selecciona "Generar Certificado" y guárdalo en un lugar seguro en tu computadora (recomendamos crear una carpeta llamada "Certificado de Revocación" en tu carpeta home y guardarla ahí).

Aprenderás mas acerca de la revocación de certificado en la Sección 5. El asistente te pedirá moverlo a un dispositivo externo, pero no es necesario en este momento.

Paso 2.b Sube tu llave pública a un servidore de llaves

En el menú de tu programa de correo electrónico, selecciona OpenPGP → Manejo de llaves.

Click derecho sobre tu llave y selecciona Subir llaves públicas a Servidor de llaves. Usa el servidor de llaves por defecto del popup.

Ahora una persona que quiera mandarte un mensaje cifrado puede descargar tu llave pública en Internet. Existen múltiples Servidores de llaves que puedes seleccionar en el menú cuando subes tu llave, pero basicamente todos son copias, por lo que no importa cual de ellos uses. Sin embargo, a veces toma un par de horas para que se sincronicen cuando una nueva llave ha sido subida.

GnuPG, OpenPGP, ¿qué?

Estas usando un programa llamado GnuPG, pero el meú en tu programa de correo electrónico se llama OpenPGP. Confuso, ¿cierto? En general, los términos GnuPG, GPG, GNU Privacy Guard, OpenPGP y PGP se usan indiferentemente, sin embargo todos tienen significados ligeramente distintos.

Paso 3.a Enviale a Adele tu llave pública

Este es un paso especial que no debes realizar cuando estas manteniendo correspondencia con una persona real. En el menú de tu programa de correo electrónico ve a OpenPGP → Manejo de llaves. Deberías ver tu llave en la lista que se despliega. Click derecho sobre tu llave y selecciona Enviar llaves públicas via correo electrónico. Esto creará un nuevo borrador de mensaje, como si hubieras hecho click en el botón de Redactar.

Dirija el mensjae a adele-en@gnupp.de. Pon por lo menos una palabra (la que quieras) en el asunto y cuerpo del correo electrónico, y luego presiona enviar.

Puede que Adele tarde dos o tres minutos en responder. Mientras tanto, quizas quieras seguir adelante y revisar la sección Usalo bien de esta guía. Una vez que ella responda, avanza al siguiente paso. De aqui en adelante, estarás haciendo lo mismo pero manteniendo correspondencia con una persona real.

Paso 3.b Envía una correo cifrado de prueba

Escribe un correo electrónico en tu programa de correo electrónico, dirijido a adele-en@gnupp.de. Pon como asuto "Prueba de cifrado" o algo similar y escribe algo en el cuerpo. Todavia no envies el mensaje.

Haz click en el ícono de llave en la esquina inferior derecha de la ventana de redacción (deberia volverse amarillo). Esto le dice a Enigmail que cifre el correo electrónico con la llave que descargaste en el último paso.

A lado de la llave, notarás el ícono de un lapiz. Haciendo click en el le dice a Enigmail que agregue una firma especial y única a tu mensaje, que se genera usando tu llave privada. Esta es una funcionalidad a parte de la de cifrado, y no es necesario que la uses para esta guía.

Haz click en Enviar. Enigmail mostrará una ventana que dice "Destinatarios no válidos, no confiables o no encontrados."

Para cifrar un correo electrónico para Adele, necesitas su llave pública, por lo que ahora necesitas que Enigmail la descargue desde un servidor de llaves. Haz click en Descargar llaves faltantes y usa el servidor por defecto del popup que te pide seleccionar un servidor de llaves. Una vez que encuentre la llave, selecciona la primera (Key ID empezando con C), despues selecciona aceptar. Selecciona aceptar en el siguiente popup.

Ahora estas de vuelta en la pantalla de "Destinatarios no válidos, no confiables o no encontrados". Selecciona la llave de Adele de la lista y haz click en aceptar. Si el mensaje no es enviado automaticamente, puedes presionar enviar ahora.

Importante: Tips de seguridad

Incluso si cifras tu correo electrónico, la linea del asunto no se cifra, por lo que no debes poner información privada alli. Las direcciones de envio y recepción tampoco se cifran, por lo que pueden ser leidas por un sistema de vigilancia. Cuando envias adjuntos, Enigmail te dara la opción de cifrarlos si asi lo quieres.

Es tambien una buena práctica hacer click en el icono de llave en la ventana de redacción antes de empezar a escribir. De otra manera, tu cliente de correo electrónico, podria guardar un borrador sin cifrar en el servidor de correo, siendo expuesto potencialmente a ser espiado.

Paso 3.c Recibir una respuesta

Cuando Edward recibe tu correo electrónico, el usará su llave privada para descifrarlo, luego obtendra tu llave pública de un servidor de llaves y la usará para cifrar la respuesta para ti.

Debido a que cifraste este correo electrónico con la llave pública de Edward, la llave privada de Edward es necesaria para descifrarlo. Edward es la única persona con su llave privada, por lo que nadie más a parte de el — ni siquiera tu — pueden descrifrarlo.

Es posible que le tome responder a Edward entre dos a tres minutos. Mientras tanto, es probable que desees avanzar revisar la sección Usalo bien des esta guía.

Cuando recibas el correo electrónic de Edward y lo abras, Enigmail detectará automáticamente que esta cifrado con tu llave pública, y usará tu llave privada para descifrarlo

Nota la barra que Enigmail te muestra arriba del mensaje, con información sobre el estado de la llave de Edward.

Paso 4.A Firma una llave

En el menú de tu programa,ve a OpenPGP → Manejo de llaves.

Click derecho sobre la llave pública de Adele y selecciona Firmar llave desde el menú contextual.

En la ventana que emerge, selecciona "No voy a contestar" y presiona OK.

En el menú de tu programa, ve a OpenPGP → Manejo de llaves → Servidor de llaves → Subir llaves públicas y presiona OK.

Efectivamente acabas de decir "Confio en que la llave pública de Adele realmente pertenence a Adele." Esto realmente no significa mucho debido a que Adele no es una persona real, pero es una una práctica.

Importante: revisa la identidad de las personas antes de firmar sus llaves

Antes de firmar la llave de una persona real, asegurate que realmente pertenece a esa persona, y que son los que dicen ser. Pideles que te muestren su ID(a no ser que confies realmente mucho en ellos) y en el fingerprint de su llav -- no solamente el ID de llave más corto, que podría pertenecer a otra llave pública. En Enigmail, responde honestamente en la ventana emergente que pregunta "¿Cuan cuidadosamente has verificado que la llave que estas a punto de firmar realmente pertenece a la(s) persona(s) nombradas arriba?"

When should I encrypt?

The more you can encrypt your messages, the better. This is because, if you only encrypt emails occasionally, each encrypted message could raise a red flag for surveillance systems. If all or most of your email is encrypted, people doing surveillance won't know where to start.

That's not to say that only encrypting some of your email isn't helpful -- it's a great start and it makes bulk surveillance more difficult.

Important: Be wary of invalid keys

GnuPG makes email safer, but it's still important to watch out for invalid keys, which might have fallen into the wrong hands. Email encrypted with invalid keys might be readable by surveillance programs.

In your email program, go back to the second email that Adele sent you. Because Adele encrypted it with your public key, it will have a message from OpenPGP at the top, which most likely says "OpenPGP: Part of this message encrypted."

When using GnuPG, make a habit of glancing at that bar. The program will warn you there if you get an email encrypted with a key that can't be trusted.

Copy your revocation certificate to somewhere safe

Remember when you created your keys and saved the revocation certificate that GnuPG made? It's time to copy that certificate onto the safest digital storage that you have -- the ideal thing is a flash drive, disk or hard drive stored in a safe place in your home.

If your private key ever gets lost or stolen, you'll need this certificate file.

Important: act swiftly if someone gets your private key

If you lose your private key or someone else gets ahold of it (say, by stealing or cracking your computer), it's important to revoke it immediately before someone else uses it to read your encrypted email. This guide doesn't cover how to revoke a key, but you can follow the instructions on the GnuPG site. After you're done revoking, send an email to everyone with whom you usually use your key to make sure they know.