Como sabéis, uno de los principales puntos débiles de los sistemas de criptografía de claves pública como GPG/PGP es la dificultad de garantizar la autenticidad de la clave pública de un tercero si ésta no se obtiene de primera mano.
Lo más habitual es obtener dicha clave pública bien de una página web donde su supuesto propietario la ha colocado, bien de un servidor público de claves públicas PGP/GPG (como
pgp.escomposlinux.org o
pgp.eteo.mondragon.edu por citar los dos que yo utilizo habitualmente).
Sin embargo, el hecho de que estas claves digan pertenecer a un determinado usuario (a través de la dirección de correo electrónico que suele aparecer asociada a la clave) nadie nos garantiza que en realidad sean de quienes dicen ser. Se necesita por tanto una garantía adicional que confirme su validez y procedencia.
Y ahí es donde surge el concepto de firmado o certificación de claves y la red de confianza (más detalles en inglés
aquí). Si nosotros por algún medio externo podemos verificar la identidad real del propietario de la clave, podemos a partir de ese momento estar seguros de que esa clave efectivamente pertenece a esa persona. Podemos por tanto asumir un paso de confianza adicional y estampar nuestra firma digital sobre dicha clave (certificarla). Ello sirve para indicar que nosotros hemos sido capaces de verificar la procedencia de dicha clave y de alguna forma certificamos su validez.
Por supuesto, el hecho de que nosotros certifiquemos la validez de una clave no hace que automáticamente dicha certificación sea universalmente válida. Al fin y al cabo, nosotros no somos un Estado ni una Autoridad de Certificación reconocida. Por tanto, esta certificación sólo será útil para quienes a su vez sepan que nuestra clave pública es válida y nos pertenece (y por tanto puedan verificar nuestra firma sobre esa tercera clave) y consideren que nuestro criterio para certificar terceras claves
es de fiar.
Este último es el paso clave para establecer la red o telaraña de confianza. Si alguien se fía de mi clave (y de mi criterio para firmar otras claves, una vez me he asegurado de su autenticidad y procedencia), ese alguien a su vez se puede sentir seguro para firmar esa tercera clave. El directamente puede no haber autenticado la clave y su procedencia, pero se fía de mi clave y de mí, y a su vez extiende la "validez" de esa tercera clave estampando su firma en ella.
El proceso se repite tantas veces como se quiera y al final se obtiene un esquema de confianza distribuida en las claves de terceros, sin necesidad de confiar necesariamente en una Autoridad Certificadora central (y en sus posibles abusos y tejemanejes), confiando solo en aquellas certificaciones que yo considero fiables (por venir firmadas por claves de personas que yo considero fiables).
Para facilitar la creación de este tipo de estructuras de redes de confianzas es para lo que se celebran estas fiestas de firmado de claves GPG/PGP. El hecho de estar físicamente en contacto hace mucho más fácil la verificación de la claves y la procedencia de la misma (su poseedor está presente en la reunión) y por tanto mucho más probable la certificación de dicha clave por el resto de participantes que así lo deseen.
Una vez realizada la fiesta, suele ser conveniente enviar las claves públicas firmadas (certificadas) a los servidores públicos PGP (por ejemplo, a los mencionados anteriormente, aunque hay unos cuantos más disponibles; el listado se puede consultar
aquí).
Saludos. Iñaki.
