GNU Privacy Guard (GnuPG)

GNU Privacy Guard (GnuPG, abreviado a menudo como GPG) es una herramienta de cifrado libre y de código abierto, creada para aportar privacidad e integridad a la comunicación digital.

Es una implementación del estándar OpenPGP, lo que significa que permite cifrar y firmar digitalmente mensajes y ficheros para que el contenido siga siendo confidencial y para que cualquier manipulación resulte detectable.

Es uno de los programas de seguridad más antiguos que se siguen usando a diario, y su trabajo más importante hoy no es el correo electrónico. Es la verificación de firmas: los repositorios de paquetes, los artefactos de publicación y las distribuciones de Linux se firman con él, y buena parte de la confianza en la cadena de suministro de software descansa en que esas firmas se comprueben.

Qué hace

Cifrado. Usa algoritmos tanto simétricos como asimétricos. Un fichero o un mensaje se cifra con la clave pública del destinatario, y solo quien tiene la clave privada correspondiente puede descifrarlo, así que solo el destinatario previsto puede leer el contenido.

Firmas digitales. Un usuario firma un fichero o un mensaje con su clave privada. Cualquiera que tenga la clave pública correspondiente puede verificar que el contenido salió de esa clave y que no se ha alterado por el camino. Eso es lo que te da una firma digital, y es independiente de que el contenido estuviera cifrado o no.

Identidad, a través de una red de confianza. GnuPG no depende de una jerarquía de autoridades de certificación. Los usuarios firman las claves de otros usuarios, y la confianza en una clave viene de quién más ha respondido por ella. Es un modelo de confianza distinto del que usan los navegadores, y la diferencia importa en la práctica.

Interoperabilidad. Funciona en distintas plataformas y se entiende con otras implementaciones de OpenPGP, que es lo que mantiene el formato utilizable entre organizaciones que han elegido herramientas diferentes.

Un ejemplo práctico

Alguien quiere enviar un fichero confidencial a un compañero por correo electrónico.

Usa GnuPG para cifrar el fichero con la clave pública del compañero, de modo que solo él, que tiene la clave privada correspondiente, pueda descifrarlo.

Además firma el fichero con su propia clave privada, para que el destinatario pueda confirmar tanto que el contenido está intacto como que viene de quien se espera.

El compañero descifra con su clave privada y verifica la firma. Son dos comprobaciones separadas que responden a dos preguntas separadas, y merece la pena decirlo con claridad: el cifrado responde a quién puede leer esto, y la firma responde a quién lo escribió.

GnuPG, PGP y OpenPGP

Tres nombres para cosas que están relacionadas y no son lo mismo, y mezclarlas es lo bastante habitual como para separarlas aquí.

PGP fue el programa original, publicado en 1991, y más tarde una línea de producto comercial.

OpenPGP es el estándar abierto que salió de él, especificado por el IETF en el RFC 4880 y revisado desde entonces. Define el formato del mensaje y el formato de la clave, no un programa concreto.

GnuPG es una implementación de ese estándar en software libre, y la que la mayoría de los sistemas tiene instalada.

Hay dos cosas que conviene saber antes de adoptarlo como organización. La primera es que la red de confianza no escala como lo hace una infraestructura de clave pública: no hay ninguna autoridad que revoque una clave de forma centralizada, y en la práctica la revocación depende de que el titular publique un certificado de revocación que quizá ya no esté en condiciones de producir. La segunda es el manejo de la clave: una clave privada que vive sin protección en un portátil es tan segura como ese portátil, y por eso los despliegues serios guardan la clave en una tarjeta inteligente o en un token hardware.

Y una limitación que se pasa por alto: OpenPGP cifra el mensaje, no los metadatos. Quién escribió a quién, cuándo y con qué asunto sigue estando a la vista.

Dónde leer más

gnupg.org: el sitio oficial, con los manuales, la guía de usuario y la documentación de referencia.

openpgp.org: información sobre el estándar en sí, la especificación técnica y las implementaciones que lo soportan.