PGP desde cero: qué es, cómo crear tus claves, cifrar archivos y firmar mensajes

Esta guía enseña a usar OpenPGP en tu equipo. La comprobación específica de la clave de HardToCrack está en Cómo verificar la clave PGP de HardToCrack. No envíes tu clave privada a HardToCrack ni a nadie.

Fundamentos

OpenPGP es el formato abierto (RFC) para cifrado y firma. PGP fue el nombre original del programa; hoy se usa de forma genérica. GnuPG (GPG) es la implementación libre más habitual en escritorio.

Analogía del candado: la clave pública es un candado que puedes regalar. Quien lo cierra (cifra) solo lo abre quien tiene la llave privada. Firmar es al revés: sellas con la privada y cualquiera con la pública comprueba que el sello encaja y que el texto no cambió.

• Confidencialidad: cifrado. Quien no tiene la privada destinataria no lee el contenido.
• Integridad: una firma válida indica que el archivo no se alteró respecto a lo firmado.
• Autenticidad criptográfica: esa clave produjo esa firma. No es un DNI.
• Fingerprint: huella de 40 caracteres para comparar claves. La confianza la pones tú, con canales independientes.

OpenPGP no te hace anónimo. El correo, el tamaño del archivo y las IPs siguen siendo metadatos. Un teléfono comprometido firma y descifra en tu nombre.

Generación de claves

En Windows, instala Gpg4win (incluye GnuPG y Kleopatra). En Linux suele bastar el paquete gnupg de tu distribución. En Tails, GnuPG ya está disponible; si usas persistencia, trata el anillo de claves como material sensible y no lo copies a un USB sin cifrar.

gpg --full-generate-key

Elige un algoritmo que tu conjunto de dispositivos acepte. RSA 4096 y las curvas ed25519 (certificar/firmar) más cv25519 (cifrado) son combinaciones habituales; Kleopatra y GnuPG no siempre ofrecen el mismo valor por defecto. Si solo generas una clave de firma, no podrás descifrar mensajes cifrados hacia ti. Pon caducidad (por ejemplo dos años) y una frase de paso que no reutilices.

OpenKeychain e iPGMail tienen asistentes propios. Prueba un cifrado inocuo entre tus dispositivos antes de usarlo para material serio. No uses generadores PGP en la web.

Protección de la clave privada

• Frase de paso larga y única.
• Disco cifrado; no sincronices ~/.gnupg ni el anillo de Android/iOS en la nube.
• Copia de seguridad cifrada fuera de línea y certificado de revocación nada más crear el par.
• Separa perfiles o dispositivos si manejas material de alto impacto.
• Rota o deja caducar claves; anuncia la huella nueva por un canal ya conocido.
• Un malware en el equipo equivalente a entregar la privada.

Importación de claves

Ejemplo: la pública de HardToCrack, descargada desde pgp-hardtocrack.asc:

gpg --show-keys --with-fingerprint pgp-hardtocrack.asc
gpg --import pgp-hardtocrack.asc

La huella debe ser DA06 4555 FA94 A360 66F7 12E1 6780 B0FA 5308 110E y el UID HardToCrack ES <security@hardtocrack.com>, igual que en /secure. Si una copia del keyserver no trae UID, GnuPG puede omitirla: usa entonces el .asc de esta web. Detalle: verificar la clave HTC.

Cifrado

gpg --encrypt --armor --recipient DA064555FA94A36066F712E16780B0FA5308110E mensaje.txt

Obtienes mensaje.txt.asc. Si cifras solo para la pública de HTC, tú no podrás descifrar ese archivo: hace falta la privada de HardToCrack, que no está publicada. Para conservar una copia legible, añade también tu propia pública como destinataria (--recipient repetido) o guarda el original en claro en un sitio que controles.

Descifrado

Ejercicio con un par de prueba tuyo, no con secretos reales ni con la privada de HTC:

gpg --full-generate-key
gpg --encrypt --armor --recipient TU_ID_DE_PRUEBA prueba.txt
gpg --decrypt prueba.txt.asc

GnuPG pedirá la frase de paso de tu privada. Lo cifrado hacia HTC solo lo abre HTC.

Firma digital de mensajes

• Texto claro (--clearsign): el mensaje se lee y debajo va el bloque de firma. Típico en correo.
• Firma separada (--detach-sign): el archivo original intacto más un .asc de firma.
• Archivo firmado (--sign): empaqueta contenido y firma; puede no ser texto legible.

gpg --clearsign mensaje.txt
gpg --armor --detach-sign documento.pdf
gpg --verify mensaje.txt.asc
gpg --verify documento.pdf.asc documento.pdf

«Good signature» significa: esa clave firmó ese contenido. No autentica a una empresa por sí sola.

Casos de uso y límites

• Correo o archivos confidenciales hacia alguien cuya pública ya contrastaste.
• Comprobar que un comunicado o un binario no se alteró.
• Firmar un texto que vas a publicar.

No cubre metadatos, no sustituye GrapheneOS, no evita phishing si verificas mal la clave, y no es una instrucción de pago. Las wallets oficiales están en /secure y publicarlas no pide una transferencia.

PGP en Android y GrapheneOS

Recomendación: OpenKeychain (org.sufficientlysecure.keychain). No viene instalada de serie en GrapheneOS. GrapheneOS ejecuta aplicaciones Android compatibles; instala y comprueba tú la versión y los permisos.

• F-Droid
• Google Play (en GrapheneOS solo si usas un perfil con Play; no es obligatorio)
• Aurora Store: busca exactamente org.sufficientlysecure.keychain
• Web: openkeychain.org · código: GitHub

El proyecto está en mantenimiento limitado. No descargues APK de foros ni Telegram. En GrapheneOS, instálala en el perfil donde vas a cifrar o leer, no copies la privada a todos los usuarios.

En esta redacción no se ha ejecutado OpenKeychain sobre un Pixel; el flujo (importar .asc, leer fingerprint, cifrar hacia HTC) es el declarado por la aplicación.

PGP en iOS e iPadOS

OpenKeychain no tiene app oficial para iPhone o iPad. No instales un IPA no firmado que pretenda serlo.

iPGMail es una alternativa en App Store que declara cifrado y firma OpenPGP. PGP Everywhere es otra ficha adicional. Aquí se citan como funciones declaradas, no como compatibilidad ensayada con la clave de HTC en un dispositivo Apple. Prueba antes con un texto inocuo y tu propia pública.

	Windows	Linux / Tails	Android / GrapheneOS	iOS / iPadOS
Herramienta	Gpg4win / Kleopatra	GnuPG; persistencia de Tails con cautela	OpenKeychain	iPGMail; PGP Everywhere extra
Base de la ficha	Documentada; GnuPG ensayado en este lote	Documentada; GnuPG ensayado en Linux de escritorio	Función declarada; no ensayada en Pixel	Función declarada; no ensayada en dispositivo Apple