De La Cruz Arreola Claribel Adamari

Domínguez Ramírez Jesús Iván

Guzmán Salinas Andrea

Landero Hernández Mariano

Montes Kibbeler Jonathan

Pozo Pérez Daniela Gpe.

Toledo Arguello Eluiser

Seguridad Informática 5° “E”

MIA. Héctor Daniel Vázquez Delgado

REPORTE DE

PRÁCTICA ENCRIPTACIÓN USANDO

GPG4WIN

1. Instalación de Gpg4win

La descarga se realizó desde la página oficial, http://www.gpg4win.org/ y es un software de tipo libre.

Una vez descargado el fichero ejecutable y comprobado que no tiene virus,

procederemos a su instalación, siguiendo las instrucciones que el mismo software

nos indique, y aceptando los valores de configuración que se nos ofrecen.

1. Generar un nuevo par de claves

Una vez instalado, tenemos que ejecutar la aplicación llamada “Kleopatra”, que se

encontrará en el menú de aplicaciones, dentro del grupo llamado “Gpg4win”.

Elegimos la opción “New Certificate…” del menú “File”

En nuestro caso, para no depender de terceros a la hora de generar los

certificados, y por motivos de compatibilidad con más usuarios (OpenPGP es un

estándar más usado a día de hoy que S/MIME con certificados X.509) vamos a

crear certificados del primer tipo.

Una vez le indicamos que deseamos un certificado de tipo OpenPGP, se nos

piden los datos básicos necesarios para crear dicho certificado: nombre y

apellidos, dirección de correo electrónico y un comentario opcional:

Si pulsamos en el botón “Advanced Settings…”, podemos modificar algunos

parámetros opcionales del certificado. Podemos elegir el tipo de clave a generar.

Tendremos que valorar si el certificado existente sigue siendo adecuado con

respecto al avance en el campo de la criptografía, Y en función desea valoración

decidir si extendemos la caducidad del certificado o por el contrario decidimos

crear un nuevo certificado y especificar los tamaños de clave y algoritmos más

adecuados en ese momento.

Una vez especificados los ajustes avanzados del certificado pulsamos en el botón

“OK”, y cuando volvemos a la pantalla con los ajustes normales del certificado

pulsamos sobre el botón “Next >”. Nos aparece la pantalla con el resumen de los

ajustes. Pulsamos sobre el botón “Create Key” para comenzar la generación de

las claves del certificado en sí. Se nos pide que introduzcamos una contraseña

para proteger la privacidad del certificado. Es importante introducir una contraseña

robusta, puesto que cualquiera que descubra esta contraseña podrá utilizar

nuestro certificado, y por tanto suplantar completamente nuestra identidad digital.

Una vez introducida la contraseña se generan las claves del certificado.

Dependiendo de la velocidad de nuestro equipo y de la cantidad de actividad que

tenga en ese momento le costará más o menos tiempo. Lo normal es que sean

unos pocos segundos. Cuando termina se nos muestra la pantalla siguiente:

En ella se nos muestra la huella digital (Fingerprint) de nuestro certificado. Este es

uno de los datos que se pueden consultar más tarde y que se suelen usar para

poder verificar la veracidad del certificado y la de su propietario.

2. Exportar la clave pública generada en binario y el modo ASCII blindado

Para ello pulsamos en el botón “Make a Backup Of Your Key Pair…” y nos

aparece la siguiente pantalla

En nuestro caso ya hemos indicado la ruta del fichero donde hacer la copia de seguridad, y hemos marcado la casilla “ASCII armor” para decirle que lo guarde en una representación de texto puro, en lugar de en formato binario. Para exportarlo en binario solo desmarcar el ASCII armor.

3. Compartir con un tercero la clave pública exportada y obtener el suyo

4. Importar la clave pública de un tercero

Ya tenemos nuestro certificado, y esto nos permitirá cifrar ficheros para nosotros mismos (esto es, que sólo podamos descifrar nosotros). Pero será habitual que tengamos que cifrar ficheros para terceros. En este caso necesitaremos una copia de sus certificados. En concreto, de la parte pública de sus certificados. En lo sucesivo en este apartado nos referiremos a “los certificados” cuando queramos decir “la parte pública de los certificados”, por simplicidad. Para poder importar certificados desde un servidor de directorio público, lo primero que debemos hacer es indicarle a la aplicación Kleopatra cual es el servidor desde el cual queremos importarlos. Para ello tenemos que pulsar en la opción “Configure Kleopatra…” del menú “Settings”, como se muestra en la siguiente figura:

En este caso se configura el servidor keys.gnupg.net (el servidor del proyecto

GnuPG, el software de base de Gpg4win) para trabajar con certificados OpenPGP

(pero no X.509). Como se aprecia en la figura, utilizará el protocolo “hkp” y el

puerto TCP 11371, por lo que será necesario que nuestro equipo pueda

conectarse a dicho servidor y puerto para que el resto de los siguientes pasos

funcionen. Si hay algún tipo de elemento bloqueando la conexión (antivirus,

cortafuegos, etc.) no será posible importar certificados de esta forma.

Este es uno de los servidores que hemos comentado anteriormente que

intercambian certificados entre sí. Por lo que nos servirá para poder importar

certificados de otros usuarios desde él.

Introducimos el texto “Werner Koch” (sin las comillas) y pulsamos en el botón

“Search” (Werner Koch es el programador principal del software GnuPG):

Para importarlo lo seleccionamos pinchando en él con el ratón, y pulsamos el

botón “Import”. Si todo va bien, Kleopatra contactará con el servidor de directorio,

descargará una copia del certificado y lo almacenará en su base de datos local,

para que esté disponible de ahora en adelante.

5. Generar un archivo de texto y firmarlo y cifrarlo.

Una vez tenemos importados los certificados de los usuarios para los que queremos cifrar un fichero, podemos llevar a cabo la operación de cifrado en sí. Para ello haremos uso de las extensiones del explorador de archivos que configura Kleopatra como parte de su instalación inicial. Vamos a la carpeta donde está el fichero que queremos cifrar. Pulsamos con el

botón derecho sobre el fichero en cuestión y nos aparecerá un menú contextual

similar al siguiente:

Entre las opciones disponibles tendremos “Firmar y cifrar” y “Más opciones de GpgEx”. Escogemos “Firmar y cifrar” En este caso se nos muestra una pantalla como la siguiente:

En este caso escogemos la opción (ya preseleccionada) “Sign and Encrypt

(OpenPGP only)” y seleccionamos la casilla “Text output (ASCII armor)”, que

guarda el fichero firmado y cifrado en un formato de texto ASCII.

Pulsamos sobre el botón “Next >”.y en la siguiente pantalla se nos pide que

indiquemos para qué usuario destinatario queremos cifrar el fichero. O dicho de

otro modo, para que certificado queremos cifrar el fichero. Se nos muestra una

lista de certificados disponibles.

Para escoger un certificado con el que cifrar el fichero, basta con seleccionarlo con

el ratón y pulsar el botón “Add” de la zona intermedia. Nos quedaría como en la

figura siguiente:

En este momento se nos pide que introduzcamos la contraseña que hayamos

utilizado para asegurar la privacidad del certificado:

Si se introduce correctamente, se firma digitalmente el fichero con nuestro

certificado y se cifra con el certificado o certificados destinarios y se nos muestra

el resultado de la operación:

6. Enviar y recibir el mensaje cifrado al compañero de la tarea

7. Descifrar el mensaje recibido mediante nuestra clave privada, el proceso

verifica la firma

Descifrar el fichero y verificar la firma digital. Para ello necesitamos hacer clic con el botón derecho sobre el fichero cifrado, y

opcionalmente firmado, que hemos recibido. Si el fichero se ha cifrado usando

certificados de tipo OpenPGP y hemos marcado la casilla “Text output (ASCII

armor)”, el fichero cifrado tendrá extensión “.asc”, si no la hemos marcado tendrá

extensión “.gpg”

Al hacer clic con el botón derecho nos aparecerán, entre otras opciones de menú

la de “Descifrar y verificar” y “Más opciones de GpgEx”.

Solicitará una contraseña que será otorgada por el compañero quien paso el

archivo.

Si el fichero de puede descifrar y la firma digital se verifica con éxito, obtendremos

una pantalla como la siguiente, donde se nos indica que el fichero se ha

descifrado y que estaba firmado digitalmente por el certificado identificado por el

texto.