Leía ayer un artículo que me dejaba helado: The World’s Email Encryption Software Relies on One Guy, Who is Going Broke. Lo que traducido vendría a ser “el cifrado del correo electrónico mundial depende de un tipo que va a la quiebra“. El titular se refiere a Werner Koch, creador y principal desarrollador de GPG, y el caso que nos ocupa es increíble por varios motivos. Relacionada: www.meneame.net/story/gpg-sistema-cifrado-correo-electronico-pasa-6-ho

Documento donde se describe la técnica por la que es posible extraer una clave ECDH NISTP-521 generada aleatoriamente usando GnuPG desde la habitación contigua a una que contenga un portátil común realizando operaciones criptográficas. La técnica, aunque no está plenamente depurada, demuestra que es posible.

La comprobación de las sumas de verificación mediante MD5 o SHA-1 es una realidad desde hace años, pero si algo aprendimos de los recientes ataques a Linux Mint y Transmissión es que incluso eso puede no ser suficiente. Nada impide a un atacante manipular también las sumas de verificación para que coincidan. Para evitar esto y proporcionar un grado de seguridad mayor se inventaron las firmas GPG en la verificación de software, que nos permite comprobar que los archivos que estamos descargando son auténticos.

En mayo, un borrador del documento técnico publicado en efail.de recomendó que las personas dejen de usar los complementos de GPG para cifrar su correo electrónico. Al mismo tiempo, la EFF dio la alarma sobre vulnerabilidades aparentemente nuevas en GPG, haciéndose eco de las recomendaciones del documento. Otros redujeron aún más esta recomendación a una simple taquigrafía: deje de cifrar su correo electrónico, porque no es seguro. (Desde entonces, EFF ha modificado sus recomendaciones, dependiendo del cliente de correo y complemento GPG).

El Gobierno alemán ahora ha clasificado a los dos lo suficientemente seguros como para ser utilizados cuando se transmiten mensajes con niveles de confidencialidad VS-ONLY FOR SERVICE SERVICE (VS-NfD), EU RESTRICTED y OTAN RESTRICTED. Tras el escándalo de Rubicon/Crypto AG/CIA, esto es una prueba más de que la tecnología de cifrado libre es la única tecnología de cifrado confiable. Nota de prensa en alemán: gnupg.com/20200107-freigabe-vs-nfd.html