[HACK] PGP

[merce at grn.es]

Ahi va eso tambien

M&M

----------------------------------------------------

17:13 9/04/01


DIEZ AÑOS CON PGP


Mercè Molist
Muchas  cosas  han  pasado  desde  que,  en  junio  de  1991,  Phillip
Zimmermann  regalara  al  mundo un programa de cifrado de documentos y
correo  electrónico, llamado Pretty Good Privacy (PGP). Con el tiempo,
incluso el gobierno norteamericano aprendió a tolerarlo y PGP saltó de
la  línea  de comando a las ventanitas. Hoy, diez millones de personas
lo usan. Pero su creador y seguidores están cada vez menos contentos.

"Como  muchos  usuarios  de  PGP  sabrán, Network Associates Inc (NAI)
compró  mi compañía, PGP Inc, en diciembre de 1997. Durante tres años,
he estado en NAI como asesor, para guiar técnicamente el desarrollo de
PGP  y  asegurar  su  integridad.  Pero no puedo seguir. En estos tres
años,  NAI  ha  creado una visión diferente para el futuro de PGP y ha
llegado  el  momento  de  irme  a  otros proyectos más acordes con mis
objetivos  de  proteger  la  privacidad  personal".  Así empezaba Phil
Zimmermann  una  nota  dirigida a los usuarios de PGP, que recorrió el
planeta a principios de febrero.

Diez años después del inicio de la aventura, su carismático líder, sin
el  que  no puede entenderse este fenómeno, da el portazo, se va a una
empresa  independiente  y dublinesa, Hush, conocida por el servicio de
correo  web  cifrado y gratuito, HushMail, y deja al legendario PGP en
manos  de  una  multinacional  que  hace  negocios  con  los servicios
secretos  norteamericanos,  como  un  reciente acuerdo con la National
Security Agency para hacer una versión segura de Linux.

¿Significa  esto  que el programador abandona a sus usuarios? "No está
en  mis planes dejarlos solos. Lo que estoy haciendo ahora es ayudar a
las compañías a implementar el estándar OpenPGP, que dará más opciones
para  escoger  a  la  hora de tener productos de cifrado de correo que
puedan  interoperar  con PGP. Eso será mejor que permitir que algo tan
importante  como  PGP se ofrezca sólo desde una compañía", confirma al
Ciberpaís  Philip Zimmermann, quien utiliza para sus comunicaciones la
última  versión de su programa, la 7.0.3., convencido de que "se puede
confiar en ella".

Y  es  que, en el paranoico mundo de la criptología, el destino de PGP
ha  sido  también  una  historia  de  locos.  Cuenta José Luís Martín,
consultor   de   seguridad   y   presidente   de  la  organización  de
ciberderechos  CPSR-España:  "En 1991 empieza a extenderse el rumor en
Estados  Unidos  de  que  el  gobierno quiere prohibir el empleo de la
criptografía  en  líneas  de  comunicación.  Por  ello, el programador
Phillip  Zimmermann,  combinando el mejor algoritmo existente de clave
única,  el IDEA, con el mejor de clave pública, el RSA, y añadiendo el
MD5  para  las  firmas digitales, crea el programa PGP y lo distribuye
como  "freeware" (gratuito) por decenas de BBSs. Su intención, como él
mismo  declaró  más  adelante,  era  conseguir  que una tecnología tan
poderosa  llegara  a  la  gente  y  que  no se quedara en manos de los
gobiernos".

Lo  consiguió.  A  través  de  los  grupos  de noticias de Usenet, PGP
traspasó las fronteras de Estados Unidos, obviando que la criptografía
era  considerada  arma  de  guerra  y, por tanto, no exportable, según
aquel  gobierno.  Zimmermann  estuvo cinco años bajo investigación. La
comunidad   llegó  a  una  solución  alternativa,  con  dos  versiones
paralelas  de  PGP,  una  para Norteamérica y otra, distribuida por el
MIT, internacional, mientras Zimmermann era llamado a declarar ante el
Congreso  de  los  Estados  Unidos,  en  1993. Lo hizo, en un tono más
didáctico que culpable.

Episodios  dignos  de  "La Guerra de las Galaxias", como pasar todo el
código  de PGP a un libro para poderlo llevar fuera de Estados Unidos,
trufaron  esta  etapa,  en  la  que  empezaron  a correr rumores sobre
presiones  gubernamentales  sobre  su  autor  e instalación de puertas
traseras  en  el  programa,  para  aliviarlas.  En 1996, el FBI dejaba
oficialmente  de  hurgar  en  la  vida  de  Zimmermann  y, en 1997, el
programador vendía su programa a Network Associates.

Así  nació  la  primera  versión  para  Windows,  la  5.  Románticos y
paranoicos no pasarían nunca de la sólo para comandos 2.6.3. Mientras,
Zimmermann  se  concentraba  en  el  proyecto  de un estándar abierto,
llamado  OpenPGP,  en el que se basa uno de los pocos aspirantes a ser
la  alternativa al popular programa de cifrado: GNU Privacy Guard, con
la versión gráfica aún en desarrollo.

Miguel Ángel Gallardo, de la empresa CITA, quien conoció personalmente
a  Zimmermann  en  Cambridge,  en  noviembre de 1994, y tiene previsto
traerlo  a  España  en otoño, lo describe como "un activista en muchos
terrenos".   Conseguir   que   no  se  prohibiera  la  exportación  de
criptografía  fuerte  en Estados Unidos era una guerra complicada, que
no  libró  sólo  un  hombre:  "Ha  habido  gente  que  ha  sufrido una
decepción,  gente que ha estado trabajando horas en esto. Los hubo que
hicieron  mucho por PGP", afirma Gallardo. Esta decepción llegó con la
venta a Network Associates Inc, que para algunos fue una deslealtad.

La  decisión,  por parte de NAI, de no publicar el código fuente desde
la   versión   6.5.8.,  no  permitiendo  así  estudiar  libremente  la
integridad del programa, alteró aún más los ánimos. José Manuel Gómez,
editor  de Kripópolis, muestra toda su incredulidad más incrédula: "El
hecho  de  que  se  deje  de  publicar  el  código  fuente es bastante
significativo.  Personalmente,  no  puedo  confiar  en  un programa de
cifrado  cuyo  código  fuente no sea público. Por tanto, o continuamos
utilizando  versiones  antiguas  de  PGP,  o  nos  pasamos con armas y
bagajes a GnuPG. ¿PGP sin código fuente? No, gracias".

También  Jorge  Dávila  Muro,  presidente de la Asociación Española de
Criptología  y  Seguridad  Informática, se muestra sorprendido por los
últimos  sucesos:  "La  razón  no  está clara. Zimmermann ha declarado
públicamente  que  da fe que no hay puertas traseras y, dicho esto, se
larga  de  NAI.  La presencia de puertas traseras sólo se puede probar
cuando  se  localizan éstas. La sospecha sobre su presencia no deja de
ser  eso,  una sospecha. Pero, en general, no es recomendable utilizar
programas  de  seguridad  y  cifrado sin conocer los códigos fuentes".
Aunque,  se  lamenta: "Me da la sensación de que a las empresas no les
importa  realmente  el  nivel de seguridad; con el hecho de comprar un
programa  a  una  empresa  americana  "respetable"  ya  se  quedan tan
contentos".

Para  Dávila, lo difícil es saber qué pasará ahora con PGP: "El actual
incluye   un   montón   de  funcionalidades  para  la  protección  del
almacenamiento y de las comunicaciones IP, por lo que -me temo-, ya ha
llegado  a  una  madurez  tal  que, a partir de ahora, sólo aparecerán
refinamientos, mejoras de la conectividad con otras aplicaciones, etc.
No  creo  que  vaya  a  sufrir  grandes  cambios". Donde siempre habrá
movimiento  es  en la duda sobre su seguridad y es que, dice Gallardo,
"nadie,  absolutamente  nadie,  puede  asegurar que no existen puertas
traseras  en una montaña de código del tamaño de PGP. Pueden jurar que
ellos no las conocen, pero no deben confundir perversamente asegurando
que no existen".

Quizás  no  puertas  traseras,  pero  sí  ataques  hechos  con toda la
intención  pueden  derrumbar  al  programa  de  Zimmermann.  Desde  la
contraseña   olvidada   en  un  'post-it',  hasta  la  estrategia  más
sofisticada,  usando  fallos  de otros programas, pasando por mensajes
descifrados  y no borrados o técnicas de criptoanálisis. Regularmente,
la comunidad se convulsiona con el rumor de un nuevo y oscuro ataque.

El  último,  en  marzo, contra PGP y OpenPGP, anunciado por los checos
ICZ,  se  ha  calificado  de  difícil,  ya que para llevarlo a cabo es
necesario  hacerse  con  la  clave  privada  de  la  víctima,  que  si
practicase  la  seguridad  más  segura no la guardaría en el ordenador
sinó  en algún disco. Por las mismas fechas aparecía otro, que permite
instalar  un  troyano  o  ejecutar cualquier código en el ordenador de
quien, simplemente, compruebe una firma digital.

Oscuridades  aparte,  diez años después y armado aún con un Macintosh,
desde  su  último  comunicado  Zimmermann anima a seguir en la brecha:
"PGP  se  diseñó originalmente para aplicaciones de derechos humanos y
para  proteger la privacidad y las libertades civiles, en la era de la
información.  Haciendo proliferar el estándar OpenPGP, podemos renovar
esta  promesa  y  continuar  la  lucha  por la privacidad personal que
capturó  la  imaginación  y  la  participación de millones por todo el
mundo".



Phil Zimmermann
http://philzimmermann.com
http://web.mit.edu/prz

The International PGP Home Page
http://www.pgpi.org

Hush
http://www.hush.com
http://www.hushmail.com

PGP. Criptografía para Internet
http://www.arnal.es/free/cripto/pgp/index.htm

Informe sobre mi viaje a Inglaterra
http://www.cita.es/textos/inglater.htm

¿PGP sin fuentes? ¡No, gracias!
http://www.kriptopolis.com/jmg/20010314.html

Asociación Española de Criptología
http://aecsi.rediris.es

Consorcio OpenPGP
http://openpgp.org

GnuPG
http://www.gnupg.org/gph/es

ICZ
http://www.i.cz

"Nuevo y gravísimo fallo en PGP"
http://www.kriptopolis.com/jmg/20010419.html




CÓMO FUNCIONA


El   programa   PGP   (Pretty  Good  Privacy)  permite  cifrar  correo
electrónico  y  textos  en  el ordenador, además de autentificar estos
mensajes  y  documentos  y  asegurar  su integridad, mediante la firma
electrónica.  Se  basa  en la criptografía llamada "de clave pública",
presentada  en  1976  por  Whitfield  Diffie  y  Martin  Hellman. Este
sistema, que puede operar en un entorno descentralizado como Internet,
es la base del éxito de PGP, y también su única complicación: entender
como  funciona  es  traspasar  una  puerta.  A  pesar de que PGP es el
sistema criptológico más utilizado, desde terroristas hasta ciudadanos
de a pie, las estadísticas dicen que sólo la han cruzado diez millones
de personas.

La  criptografía  de clave pública utiliza dos llaves para el juego de
cifrar-descifrar mensajes. Lo cuenta José Luis Martín, en su manual de
PGP:  "Cada  usuario  tiene  dos  claves,  una secreta o privada y una
pública.  La  clave secreta ha de quedar sólo en poder del dueño, pero
la  clave  pública  puede  y  debe distribuirse. Cualquiera que quiera
enviarnos  mensajes  cifrados,  habrá  de  hacerse  con  nuestra clave
pública  y  utilizarla.  Una  vez  cifrado  así el mensaje, sólo podrá
descifrarse  con  nuestra  clave  privada. Ni siquiera podrá el que ha
cifrado  el  mensaje.  Por  otro  lado, el conocer la clave pública no
permite de ninguna manera deducir la clave privada".

Aprendida la lección, el resto es fácil, ya que desde la versión 5 PGP
funciona  también  para  Windows,  con  iconos, ventanitas y un manual
realmente útil, que puede leerse en una tarde de sábado.


Cómo trabaja PGP
http://www.arnal.es/free/cripto/pgp/trabaja.htm
PGP en una hora
http://www.kriptopolis.com/pgp/index.html