Como sabeis, uno de los principales puntos debiles de los sistemas de criptografia de claves publica como GPG/PGP es la dificultad de garantizar la autenticidad de la clave publica de un tercero si esta no se obtiene de primera mano.
Lo mas habitual es obtener dicha clave publica bien de una pagina web donde su supuesto propietario la ha colocado, bien de un servidor publico de claves publicas PGP/GPG (como
pgp.escomposlinux.org o
pgp.eteo.mondragon.edu por citar los dos que yo utilizo habitualmente).
Sin embargo, el hecho de que estas claves digan pertenecer a un determinado usuario (a traves de la direccion de correo electronico que suele aparecer asociada a la clave) nadie nos garantiza que en realidad sean de quienes dicen ser. Se necesita por tanto una garantia adicional que confirme su validez y procedencia.
Y ahi es donde surge el concepto de firmado o certificacion de claves y la red de confianza (mas detalles en ingles
aqui. Si nosotros por algun medio externo podemos verificar la identidad real del propietario de la clave, podemos a partir de ese momento estar seguros de que esa clave efectivamente pertenece a esa persona. Podemos por tanto asumir un paso de confianza adicional y estampar nuestra firma digital sobre dicha clave (certificarla). Ello sirve para indicar que nosotros hemos sido capaces de verificar la procedencia de dicha clave y de alguna forma certificamos su validez.
Por supuesto, el hecho de que nosotros certifiquemos la validez de una clave no hace que automaticamente dicha certificacion sea universalmente valida. Al fin y al cabo, nosotros no somos un Estado ni una Autoridad de Certificacion reconocida. Por tanto, esta certificacion solo sera util para quienes a su vez sepan que nuestra clave publica es valida y nos pertenece (y por tanto puedan verificar nuestra firma sobre esa tercera clave) y consideren que nuestro criterio para certificar terceras claves
es de fiar.
Este ultimo es el paso clave para establecer la red o telarana de confianza. Si alguien se fia de mi clave (y de mi criterio para firmar otras claves, una vez me he asegurado de su autenticidad y procedencia), ese alguien a su vez se puede sentir seguro para firmar esa tercera clave. El directamente puede no haber autenticado la clave y su procedencia, pero se fia de mi clave y de mi, y a su vez extiende la "validez" de esa tercera clave estampando su firma en ella.
El proceso se repite tantas veces como se quiera y al final se obtiene un esquema de confianza distribuida en las claves de terceros, sin necesidad de confiar necesariamente en una Autoridad Certificadora central (y en sus posibles abusos y tejemanejes), confiando solo en aquellas certificaciones que yo considero fiables (por venir firmadas por claves de personas que yo considero fiables).
Para facilitar la creacion de este tipo de estructuras de redes de confianzas es para lo que se celebran estas fiestas de firmado de claves GPG/PGP. El hecho de estar fisicamente en contacto hace mucho mas facil la verificacion de la claves y la procedencia de la misma (su poseedor esta presente en la reunion) y por tanto mucho mas probable la certificacion de dicha clave por el resto de participantes que asi lo deseen.
Una vez realizada la fiesta, suele ser conveniente enviar las claves publicas firmadas (certificadas) a los servidores publicos PGP (por ejemplo, a los mencionados anteriormente, aunque hay unos cuantos mas disponibles; el listado se puede consultar
aqui).
Saludos. Inaki.
