valmis@dicarlo:~$
ES | EN
← Volver a Publicaciones

OpenPGP y GnuPG en la Práctica: Soberanía Criptográfica, Firmas y Gestión de Secretos

📅 ⏱ 5 min read (920 words)
#openpgp #gnupg #gpg #criptografia #privacidad #firmas-digitales #git

En un ecosistema tecnológico dominado por aplicaciones de mensajería cerradas, claves corporativas almacenadas en la nube y autoridades de certificación (CAs) centralizadas, OpenPGP (estandarizado en RFC 4880 y recientemente actualizado en RFC 9580) sigue siendo el estándar libre más maduro y resiliente para la autenticidad, integridad y confidencialidad entre personas sin intermediarios.

A través de su implementación de referencia en software libre, GnuPG (Gnu Privacy Guard / gpg), cualquier usuario u organización puede establecer una identidad criptográfica soberana e independiente de cualquier entidad estatal o corporativa.

En esta guía desglosamos por qué OpenPGP es esencial en la ingeniería de sistemas moderna y cómo utilizar GnuPG de forma práctica y rigurosa en el día a día.

1. Los Tres Pilares Criptográficos de OpenPGP

OpenPGP no es solo “un programa para cifrar correos”. Es una suite completa de operaciones criptográficas basadas en un par de claves (Pública y Privada):

+-------------------------------------------------------------------------------+
|                       OPERACIONES BÁSICAS DE OPENPGP                          |
+-------------------------------------------------------------------------------+
|                                                                               |
|   1. CONFIDENCIALIDAD (Cifrado):                                              |
|      Texto Plano + Clave Pública del Destinatario  --->  Texto Cifrado (ASCII)|
|                                                                               |
|   2. INTEGRIDAD Y NO REPUDIO (Firma Digital):                                 |
|      Documento / Binario + Tu Clave Privada        --->  Firma Digital (.asc) |
|      (Cualquiera con tu Clave Pública puede verificar que NO fue alterado)    |
|                                                                               |
|   3. AUTENTICACIÓN:                                                           |
|      Desafío criptográfico para probar identidad en SSH o sesiones seguras    |
|                                                                               |
+-------------------------------------------------------------------------------+

A diferencia de los certificados TLS para servidores web (que dependen de Autoridades de Certificación comerciales que pueden ser coaccionadas o comprometidas), OpenPGP utiliza el modelo de Red de Confianza (Web of Trust - WoT) y verificación directa de huellas dactilares (Fingerprints), donde la confianza se valida de igual a igual (peer-to-peer).

2. Usos Críticos en la Ingeniería y Ciberseguridad

A. Firma de Commits y Releases en Git

En entornos de desarrollo y despliegue continuo (CI/CD), la identidad de un autor en Git (git config user.email) puede ser falsificada trivialmente. Firmar commits con tu clave GPG (git commit -S -m "...") garantiza matemáticamente que el código fue escrito y aprobado por ti:

# Configurar Git para firmar automáticamente con tu clave GPG
git config --global user.signingkey 88CE0017C5623596B9E1FE81CE0C3FD2AD58CD23
git config --global commit.gpgsign true
git config --global tag.gpgSign true

B. Verificación de Integridad de Software y Kernels

Antes de arrancar un nuevo sistema operativo (como OpenBSD o Debian) o instalar un paquete crítico, verificar la firma desprendida (.asc o .sig) evita ataques de intermediario (MitM) o repositorios envenenados:

gpg --verify checksums.txt.asc checksums.txt

C. Gestión de Secretos UNIX con pass

La herramienta estándar de administración de contraseñas en UNIX, pass (the standard unix password manager), utiliza GnuPG para cifrar cada contraseña en archivos individuales en disco dentro de ~/.password-store/. Solo quien posee la clave privada y la frase de paso puede descifrarlas.

3. Manual Práctico de Comandos Esenciales con GnuPG

1. Generación de Claves Fuertes

Para generar una clave con los parámetros criptográficos recomendados (Ed25519 para firmas o RSA 4096):

gpg --full-generate-key
  • Selecciona: (9) ECC (Sign and Encrypt) o (1) RSA and RSA (4096 bits).
  • Introduce tu nombre completo y correo electrónico (ej. valmis@dicarlo.cc).
  • Elige una frase de paso (passphrase) robusta.

2. Obtener tu Huella Digital (Fingerprint) y Key ID

gpg --fingerprint valmis@dicarlo.cc

Salida:

pub   ed25519 2026-08-24 [SC]
      88CE 0017 C562 3596 B9E1  FE81 CE0C 3FD2 AD58 CD23
uid           [ultimate] Valmis Di Carlo <valmis@dicarlo.cc>
sub   cv25519 2026-08-24 [E]
  • La huella digital es el bloque completo de 40 dígitos hexadecimales.
  • El Key ID son los últimos 16 dígitos (0xCE0C3FD2AD58CD23).

3. Exportar tu Clave Pública para Compartirla en tu Web

Para que otros puedan cifrarte mensajes o verificar tus firmas, exporta tu clave en formato texto plano (ASCII Armored):

gpg --armor --export valmis@dicarlo.cc > valmis.pub.asc

4. Cifrar y Descifrar Archivos

  • Cifrar un archivo para un destinatario específico: 
    gpg --armor --encrypt --recipient usuario@destino.com reporte_auditoria.pdf
# Genera: reporte_auditoria.pdf.asc
  • Descifrar un archivo: 
    gpg --decrypt reporte_auditoria.pdf.asc > reporte_auditoria.pdf

5. Firma Digital Independiente (Detached Signature)

Para firmar un archivo ejecutable, archivo comprimido o script sin alterar su contenido original:

gpg --armor --detach-sign backup.tar.gz
# Genera el archivo de firma: backup.tar.gz.asc

Cualquier receptor puede verificar la autenticidad con:

gpg --verify backup.tar.gz.asc backup.tar.gz

4. Buenas Prácticas y Reglas de Seguridad Operativa

  1. Genera inmediatamente un Certificado de Revocación:
    Si pierdes tu clave privada o tu equipo es robado, el certificado de revocación te permite invalidar tu clave en los servidores públicos:

    gpg --output revocacion-valmis.asc --gen-revoke valmis@dicarlo.cc

    (Guarda este archivo en un medio físico fuera de línea, como una memoria USB cifrada en caja fuerte).

  2. Utiliza Subclaves Operativas:
    Mantén la Clave Primaria de Certificación ([C]) protegida y fuera de línea, y utiliza subclaves dedicadas para Firma ([S]), Cifrado ([E]) y Autenticación ([A]).

  3. Almacenamiento en Hardware (Smartcards / YubiKeys):
    Mover las subclaves privadas a un dispositivo hardware criptográfico (como una YubiKey o Nitrokey mediante gpg --card-edit) garantiza que la clave privada nunca toque la memoria RAM del ordenador ni pueda ser extraída por malware.

Conclusión

OpenPGP no es una tecnología del pasado; es una de las pocas herramientas que garantizan la soberanía digital real frente a intermediarios. Publicar tu clave pública y tu huella en tu sitio web personal no es solo una buena práctica de ciberseguridad: es la base para establecer comunicaciones verificables y no repudiables en el mundo moderno.