-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El Dom 12 Sep 2004 01:31, Diego Saravia escribió:
Encriptar no, firmar con gnupg.
si lo que se quiere hacer es firmar, el que comprueba tu firma debe recibir por canal seguro tu clave publica. Como sabe sino que viene de vos?, es exactamente lo mismo que el correo que mandas sin firmar.
No se necesita canal seguro, dado que la clave publica es eso publica. La que no es distribuible por seguridad es la clave parte privada de la clave. En el caso de la encriptacion debes asignarle confianza a la clave para su uso y ahi debes ser cuidadoso en la certificacion de valides y seguridad de la verificacion de pertenencia de esa clave publica.
La unica forma de validar eso seria que en una reunion fisica real intercambiemos todos las claves publicas. y que cada uno guarde esas claves sin que nadie pueda alterarlas. O sea deben darse varias condiciones, que las claves publicas sean generadas correctamente, que sean entregadas por el futuro firmante a el futuro lector en persona y con certificacion de identidad y que el futuro lector no deje que nadie las altere.
Si el receptor baja la clabe publica de un servidor es suficiente para validar origen. Dado que la "firma digital" solo puede generarse con la clave privada, que no se distribuye y que permanece en el sistema emisor. Incluso si dejas tu maquina y alguien quiere "hurtar" tu clave privada de ahi, debera tener el password de la clave para hacerlo. Si por alguna razon la clave publica que baja el receptor desde el servidor de claves publicas esta alterada no podra validar la "firma" el emisor.
Es decir si yo recibo tu clave y la guardo en mi pc, no debo dejar que nadie la toque, ni conectarla a internet ni nada que deje abierta la posibilidad de que se cambie el archivo con tu clave publica.
La clave publica solo sirve para validar, la privada para generar la "firma". EL receptor solo tendra la clave publica. Es como si para validar una firma de puño y letra en papel del emisor, te fijaras en internet o en un lugar publico una copia para compararla. Si la que es "publica" esta alterada, las diferencia, te llevaran al unico camino logico, el mensaje recibido no puede ser validado. La gran diferencia es que la firma de puño y letra puede ser imitada con cierta facilidad, en el caso de la "firma digital" necesitas un password y una clave privada para generarla. Es como si firmaras de puño y letra con una lapicera unica y esta tuviese "clave" de activacion.
lo ideal seria guardar un cd en una caja fuerte y comprobar la validez de cada email con ese cd, ante cada correo.
Es innecesario eso. dado que cualquier alteracion de la clave publica, haria dudar al receptor del origen del mensaje recibido, ya que segun su "alterada clave publica" del emisor dara como mensaje invalido.
O sea si se quiere armar en serio grabemos cada uno de nosotros nuestra clave en un cd fisico y firmemos en su tapa con tinta indeleble y lo distribuyamos en el proximo encuentro. Con eso tendremos un sistema con una seguridad similar a una firma en papel. Tendria que tener en una caja fuerte un cd por cada uno de uds.
Eso solo seria necesario si se distribuyeran las claves privadas y publicas. Daniel - -- Mate.Cosido (..aun fuera de la ley) (* UTUTO-e GNU System + Linux *) (* 2.6.7 / XOrg 6.8 compilado con gcc 3.4.1 *) Daniel Olivera (Mate.Cosido) -- GNU/Linux #267582 - AR #1832 Telefono / Phone: (+5411) 4207-1701 / 7688 Celular / Cell Phone: (+5411) 5637-5979 Key Server: pgpkeys.netsys.com.ar ICQ: 8368437 -- AIM/Yahoo: doliveralinux -- MSN : No uso Jabber: jabber.netsys.com.ar / ususario: mate.cosido Estudien mucho para poder dominar la tecnica que permite dominar la naturaleza. CHE -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.6 (GNU/Linux) iD8DBQFBRC2OmUZ7u+iPzsQRAgGLAJ9l8YL151OhFrDsEdzKAsT/a6VG6QCeN/Ir 4SIbm7iqfABwLYycF2XtjCk= =5Jrs -----END PGP SIGNATURE-----