Asistencia de Usuarios en Aplicaciones Ofimáticas y de Correo Electrónico II

01Descarga e Instalación de Programas de Cifrado

Cifrar el correo electrónico protege la privacidad de las comunicaciones, garantizando que solo el destinatario autorizado pueda leer el contenido de un mensaje. A continuación se describen las principales herramientas de cifrado de correo y cómo obtenerlas e instalarlas.

Instalación de GnuPG en Windows y Linux

1. Descargar el instalador. En Windows, descargar Gpg4win desde el sitio oficial gnupg.org; en Linux, la mayoría de distribuciones ya lo incluyen o se instala con el gestor de paquetes (por ejemplo, sudo apt-get install gnupg).
2. Ejecutar el asistente de instalación. En Windows, seguir el asistente de gpg4win.exe eligiendo los componentes a instalar, como Kleopatra y GnuPG.
3. Verificar la instalación. Comprobar en una terminal que el comando gpg --version responde correctamente.
4. Integrar con el cliente de correo. En Thunderbird, activar la funcionalidad OpenPGP integrada (o el complemento Enigmail en versiones antiguas) para cifrar y firmar desde la propia interfaz.

Instalación de Mailvelope

• Descargar la extensión desde mailvelope.com o directamente desde la tienda de complementos del navegador (Chrome Web Store, Firefox Add-ons).
• Instalarla como cualquier otra extensión del navegador.
• Abrir Mailvelope desde la barra de extensiones para completar la configuración inicial.

Alta en servicios con cifrado integrado

• ProtonMail: registrarse en protonmail.com y, opcionalmente, instalar la app móvil desde Google Play o App Store.
• Tutanota: registrarse en tutanota.com y, opcionalmente, instalar la app móvil correspondiente.

Como medida de seguridad adicional, conviene habilitar la autenticación de dos factores (2FA) en cualquiera de estas cuentas de correo, complementando el cifrado con una capa extra de protección del acceso.

02Generación de Claves Pública y Privada

La generación de un par de claves es el paso fundamental del cifrado asimétrico en el que se basan PGP/GPG: una clave pública, que se comparte con otros para que puedan cifrar mensajes dirigidos al usuario, y una clave privada, que se mantiene en secreto y se emplea para descifrar los mensajes recibidos.

Generación de claves con GnuPG

1. Abrir una terminal o Kleopatra. En Linux se usa la terminal; en Windows, la interfaz gráfica de Kleopatra facilita el proceso.
2. Ejecutar el comando de generación. gpg --gen-key inicia el asistente de creación de claves.
3. Elegir el tipo y el tamaño de clave. Habitualmente RSA, con un tamaño recomendado de 2048 o 3072 bits como equilibrio entre seguridad y rendimiento.
4. Introducir nombre y correo electrónico. Estos datos vinculan la clave pública a la identidad del usuario dentro del sistema de cifrado.
5. Establecer una contraseña segura. Esta contraseña protege el uso de la clave privada y es imprescindible para descifrar mensajes.
6. Verificar y exportar la clave pública. El comando gpg --list-keys confirma que la clave se creó correctamente, y gpg --armor --export genera la clave pública en formato de texto para compartirla.

Generación de claves en otras herramientas

• Mailvelope: desde "Key Management" → "Generate Key", introduciendo nombre, correo y tamaño de clave (2048 bits o más).
• ProtonMail y Tutanota: generan el par de claves de forma automática al crear la cuenta, sin ninguna acción adicional por parte del usuario.

La clave privada nunca debe compartirse ni almacenarse sin protección: su compromiso invalida toda la seguridad del sistema de cifrado, ya que cualquiera que la posea (y conozca la contraseña) podría leer los mensajes cifrados dirigidos al usuario.

03La Gestión de Claves

La gestión de claves cubre todo el ciclo de vida de las claves criptográficas: creación, almacenamiento, distribución, revocación y eliminación. Una buena gestión es tan importante como la propia fortaleza del algoritmo de cifrado.

Software de gestión de claves

Políticas de gestión de claves en la empresa

• Establecer normas claras sobre cómo se generan, almacenan y revocan las claves.
• Formar a los usuarios en la importancia de proteger su clave privada y su contraseña.
• Definir un procedimiento de revocación rápida ante la sospecha de que una clave se ha visto comprometida.

04Configuración de las Herramientas de Cifrado

Una vez instaladas las herramientas de cifrado, es necesario configurarlas correctamente para que protejan de forma efectiva las comunicaciones del usuario.

GnuPG (GPG)

• Generar el par de claves con gpg --gen-key, eligiendo tipo RSA y tamaño de 2048 o 4096 bits.
• Crear un certificado de revocación durante la generación, por si se pierde el acceso a la clave privada.
• Establecer una fecha de expiración de la clave, para forzar su renovación periódica.
• Exportar la clave pública con gpg --armor --export tu-email@ejemplo.com > clave_publica.asc.
• Integrar GnuPG con el cliente de correo (por ejemplo, la funcionalidad OpenPGP de Thunderbird).

Mailvelope

• Instalar la extensión en el navegador y abrirla desde la barra de herramientas.
• Generar el par de claves desde "Key Management" → "Generate Key".
• Exportar y compartir la clave pública con los contactos.
• Al redactar un correo en el servicio web, usar el icono de Mailvelope para cifrar el contenido antes de enviarlo.

ProtonMail y Tutanota

• Registrar una cuenta gratuita o de pago en el sitio oficial del servicio.
• El par de claves se genera automáticamente al crear la cuenta.
• Activar la autenticación de dos factores (2FA) desde las opciones de seguridad.
• Exportar la clave pública, si se desea compartirla con usuarios que no utilicen ese mismo servicio.

En todos los casos conviene mantener la clave privada en un lugar seguro, usar contraseñas robustas y, siempre que la herramienta lo permita, activar la autenticación de dos factores como capa adicional de protección.

05Distribución y Obtención de Claves

Para que el cifrado asimétrico funcione, las claves públicas deben compartirse de forma segura, y quienes quieran enviar un mensaje cifrado a un usuario deben poder obtener su clave pública de manera fiable.

Formas de distribuir la clave pública propia

• Envío directo: adjuntar la clave pública (archivo .asc) o incluirla en el cuerpo de un correo.
• Servidores de claves PGP: publicar la clave en servidores como keyserver.ubuntu.com o pgp.mit.edu, mediante gpg --send-keys.
• Publicación en un sitio web o perfil de redes sociales, cuando se considera seguro hacerlo.
• Código QR: generar un código QR a partir de la clave pública, útil para compartirla en eventos o reuniones presenciales.

Formas de obtener la clave pública de otra persona

• Solicitarla directamente al interesado, por correo electrónico o por otro medio seguro.
• Buscarla en un servidor de claves con gpg --search-keys [nombre o correo].
• Consultarla en redes sociales o foros donde el propietario la haya publicado.
• Revisar listas de claves públicas mantenidas por proyectos o comunidades de código abierto.

Verificación de la autenticidad de una clave

• Sistema de firmas de confianza: comprobar quién ha firmado la clave con gpg --list-sigs [ID_de_la_clave].
• Confirmación cara a cara: verificar la clave en una reunión presencial, mostrándola en pantalla o mediante un código QR.
• Canal alternativo: pedir confirmación de la clave por un medio distinto al que se está protegiendo, como una llamada telefónica.

Verificar la autenticidad de la clave pública antes de usarla es imprescindible para evitar ataques de intermediario (man-in-the-middle), en los que un atacante sustituye la clave legítima por una propia para interceptar la comunicación.

06Envío de Correos Cifrados y Firmados

Cifrar y firmar un correo garantiza, respectivamente, su confidencialidad (solo el destinatario puede leerlo) y su autenticidad e integridad (se puede comprobar quién lo envió y que no se ha modificado).

Con GnuPG (GPG)

1. Redactar el mensaje. Guardar el texto del correo en un archivo, por ejemplo mensaje.txt.
2. Cifrar y firmar. Ejecutar gpg --encrypt --sign --armor -r destinatario@ejemplo.com mensaje.txt, que genera un archivo cifrado y firmado (mensaje.txt.asc).
3. Enviar el mensaje. Copiar el contenido del archivo .asc en el cuerpo del correo y enviarlo al destinatario.
4. Descifrar al recibir. El destinatario guarda el contenido cifrado en un archivo y ejecuta gpg --decrypt correo_cifrado.asc, usando su clave privada.

Con Mailvelope

• Redactar el correo con normalidad en el servicio de correo web (Gmail, Outlook...).
• Pulsar el icono de Mailvelope en la ventana de redacción y seleccionar "Cifrar", marcando también "Firmar" si se desea.
• El contenido cifrado y firmado se inserta automáticamente en el cuerpo del mensaje antes de enviarlo.
• Al recibir un correo cifrado, Mailvelope muestra el contenido descifrado directamente en el cliente, siempre que se disponga de la clave privada correspondiente.

Con ProtonMail y Tutanota

• El cifrado entre usuarios de la misma plataforma es automático: no requiere ninguna acción adicional.
• Al enviar a un destinatario externo, se puede proteger el mensaje con una contraseña que el destinatario deberá introducir para leerlo.
• Los correos recibidos de otros usuarios de la misma plataforma se descifran automáticamente al abrirlos.

En cualquiera de estas herramientas, la seguridad final del sistema depende de seguir correctamente los pasos de cifrado y de verificar siempre la autenticidad de las claves públicas empleadas, para mantener la confianza en la comunicación.

07Conceptos sobre Seguridad en las Comunicaciones

La seguridad en las comunicaciones agrupa las prácticas y tecnologías destinadas a proteger la información intercambiada entre sistemas o personas frente a accesos no autorizados, alteraciones o interrupciones.

Pilares de la seguridad en las comunicaciones

Amenazas comunes

• Intercepción: captura de datos sin autorización (sniffing).
• Modificación: alteración de los datos en tránsito.
• Suplantación: hacerse pasar por otra entidad para obtener acceso (phishing).
• Denegación de servicio (DoS/DDoS): saturación de sistemas para hacerlos inaccesibles.

Medidas de seguridad habituales

08Certificados Electrónicos

Un certificado electrónico es un documento digital emitido por una entidad de confianza (autoridad de certificación) que acredita la identidad de una persona, organización o dispositivo en un entorno digital, y es esencial para comunicaciones seguras y transacciones confiables en internet.

Elementos de un certificado

• Autoridad de certificación (CA): entidad que emite y valida los certificados (DigiCert, Let's Encrypt, Sectigo...).
• Información del titular: nombre, correo electrónico y otros datos identificativos.
• Clave pública asociada al titular.
• Datos de la CA emisora, fecha de emisión y de caducidad, número de serie único.
• Algoritmo de firma y de hash utilizados.

Los certificados utilizan criptografía de clave pública: la clave pública incluida en el certificado permite cifrar mensajes o verificar firmas digitales, y la CA firma digitalmente el certificado con su propia clave privada para garantizar su autenticidad. El estándar más utilizado es X.509, empleado en protocolos como SSL/TLS para asegurar las conexiones web.

Tipos de certificados

Un buen manejo de los certificados electrónicos incrementa la confianza en servicios y aplicaciones digitales, reduce el riesgo de suplantaciones e intercepciones, y facilita el cumplimiento de normativas legales en las transacciones electrónicas.

09Firma Electrónica

La firma electrónica es un mecanismo digital que permite identificar a una persona y garantizar la integridad de un documento o transacción, siendo una alternativa a la firma manuscrita con validez legal siempre que cumpla los requisitos normativos correspondientes.

Niveles de firma electrónica

Componentes de la firma electrónica

• Certificado digital: asocia la identidad del firmante con una clave pública, emitido por una autoridad de certificación.
• Criptografía: la clave privada del firmante genera la firma; la clave pública del certificado permite verificarla.
• Hash del documento: resumen criptográfico incluido en la firma para comprobar que el documento no se ha modificado.

Usos habituales

• Transacciones comerciales: contratos, facturas electrónicas, pedidos.
• Gestiones administrativas: solicitudes, declaraciones y trámites con administraciones públicas.
• Aprobación de documentos: informes, propuestas o autorizaciones internas.
• Seguridad informática: autenticidad y no repudio en comunicaciones electrónicas.

La firma electrónica agiliza los procesos, reduce el uso de papel, protege los documentos frente a modificaciones no autorizadas y cumple con normativas como el Reglamento eIDAS en la Unión Europea, siempre que se implemente sobre un sistema confiable y regulado.

10Prestador de Servicios de Certificación

Un Prestador de Servicios de Certificación (PSC) es la entidad que emite y gestiona certificados electrónicos, garantizando la autenticidad, integridad y validez de las transacciones electrónicas, y constituye el pilar sobre el que se sostiene la confianza digital.

Funciones principales de un PSC

• Emisión de certificados que asocian una identidad (persona, empresa o dispositivo) con una clave pública.
• Gestión del ciclo de vida del certificado: creación, renovación, suspensión y revocación.
• Verificación de la identidad del solicitante antes de emitir el certificado.
• Almacenamiento seguro de las claves privadas usadas en la creación de firmas digitales.
• Servicios relacionados: sellos de tiempo, validación de firmas y cifrado de datos.

Componentes clave de un PSC

• Autoridad de Certificación (CA): entidad central que emite y firma los certificados digitales.
• Autoridad de Registro (RA): verifica la identidad de los solicitantes y valida las solicitudes.
• Listas de revocación de certificados (CRL): publican los certificados que han dejado de ser confiables.
• Sellos de tiempo: certifican la fecha y hora exactas de una transacción o firma.

Ejemplos de PSC reconocidos

• En España: FNMT (Fábrica Nacional de Moneda y Timbre), Camerfirma, Firmaprofesional.
• Internacionales: DigiCert, Sectigo, GlobalSign.

Para operar, un PSC debe ofrecer fiabilidad técnica, cumplir la normativa específica del país o región (como el Reglamento eIDAS en Europa) y someterse a auditorías periódicas que garanticen que cumple los estándares internacionales.

11Obtención de un Certificado por una Persona Física

El certificado electrónico de una persona física asocia su identidad con una clave pública, permitiéndole firmar digitalmente, autenticarse y realizar transacciones electrónicas seguras. El proceso de obtención está regulado por el prestador de servicios de certificación (PSC) elegido.

1. Seleccionar un PSC autorizado. Elegir un prestador reconocido por la normativa del país, por ejemplo la FNMT en España, GlobalSign, DigiCert o Camerfirma.
2. Completar la solicitud en línea. Introducir los datos personales requeridos (nombre completo, DNI/NIE, correo electrónico y datos de contacto) en el sitio web del PSC.
3. Generar el par de claves. El navegador o el software proporcionado por el PSC genera la clave pública y la clave privada; esta última queda en poder exclusivo del solicitante.
4. Verificar la identidad. Presentarse físicamente en una oficina autorizada (Registro Civil, Hacienda, Correos...) con un documento oficial y el código de solicitud.
5. Recibir e instalar el certificado. Una vez verificada la identidad, el PSC emite el certificado, que se descarga e instala en el dispositivo del solicitante (ordenador, USB seguro, tarjeta criptográfica).

Usos del certificado de persona física

• Firmar digitalmente documentos: contratos, solicitudes y autorizaciones.
• Autenticarse en portales de administraciones públicas: Hacienda, Seguridad Social.
• Realizar trámites en línea: declaraciones de impuestos, solicitudes de becas, firma de actas.
• Cifrar comunicaciones: proteger correos electrónicos o mensajes sensibles.

Consejos de seguridad

• No compartir ni almacenar la clave privada en lugares inseguros.
• Renovar el certificado antes de que caduque (validez habitual de 1 a 3 años).
• Mantener una copia de seguridad del certificado para evitar su pérdida.

12El Certificado y el Correo Electrónico

Usar un certificado electrónico en el correo permite garantizar la seguridad, la autenticidad y la integridad de los mensajes enviados, protegiendo la información sensible frente a suplantaciones de identidad.

Funciones del certificado en el correo

Proceso de uso de un certificado en el correo

1. Obtener un certificado electrónico. Adquirir uno específico para correo de un prestador de servicios de certificación (PSC).
2. Instalar el certificado. Importarlo en el cliente de correo utilizado: Outlook, Thunderbird, Apple Mail, etc.
3. Configurar la cuenta de correo. Asociar el certificado a la cuenta y activar la firma digital y, si se desea, el cifrado.
4. Enviar un correo firmado o cifrado. Marcar las opciones "firmar digitalmente" o "cifrar" antes de enviar el mensaje.

Beneficios

• Autenticidad: el destinatario puede confirmar que el mensaje procede del remitente legítimo.
• Integridad: se garantiza que el contenido no ha sido alterado durante la transmisión.
• Confidencialidad: el cifrado asegura que solo el destinatario previsto puede leer el mensaje.
• Confianza: se reduce el riesgo de ataques como el phishing o la intercepción de mensajes.

El cifrado requiere que tanto el remitente como el destinatario dispongan de certificados electrónicos, y es importante renovar el certificado antes de su expiración para evitar interrupciones en el servicio. Un ejemplo típico es el envío de contratos firmados digitalmente por una empresa a sus clientes: la firma digital permite a estos verificar tanto la autenticidad del remitente como la integridad del documento recibido.