Concepts/OpenPGP For Beginners/ca: Difference between revisions

From KDE Wiki Sandbox
(Created page with "Hi ha un altre article que us prepara per a la generació de la clau i un que explica [[Special:myLanguage/Concepts/Ope...")
(Importing a new version from external source)
 
(42 intermediate revisions by the same user not shown)
Line 3: Line 3:
== Introducció ==
== Introducció ==


La seguretat efectiva d'una solució de criptografia depèn més de conèixer el que feu i el que signifiquen certes dades tècniques (i el que no!) en la llargària de la clau i el mateix programari. Així, aquest article donarà una introducció als conceptes bàsics d'[https://en.wikipedia.org/wiki/Pretty_Good_Privacy OpenPGP].  
La seguretat efectiva amb una solució de criptografia depèn més de conèixer el que feu i el que signifiquen certes dades tècniques (i el que no!) en la llargària de la clau i el mateix programari. Així, aquest article donarà una introducció als conceptes bàsics d'[https://en.wikipedia.org/wiki/Pretty_Good_Privacy OpenPGP].  


Aquesta guia d'aprenentatge és per a principiants, de manera que qualsevol cosa massa complicada quedarà fora. A més, no trobareu explicacions de com fer quelcom amb un cert programari. Per això ja disposeu de la documentació del programari. Això us ajudarà a entendre millor les accions que s'expliquen allà.  
Aquesta guia d'aprenentatge és per a principiants, de manera que qualsevol cosa massa complicada quedarà fora. A més, no trobareu explicacions de com fer quelcom amb un cert programari. Per això ja disposeu de la documentació del programari. Això us ajudarà a entendre millor les accions que s'expliquen allà.  


Hi ha un altre [[Special:myLanguage/Concepts/OpenPGP_Getting_Started|article que us prepara per a la generació de la clau]] i un que explica [[Special:myLanguage/Concepts/OpenPGP_For_Advanced_Users|conceptes avançats]].
Hi ha un [[Special:myLanguage/Concepts/OpenPGP_Getting_Started|article que us prepara per a la generació de la clau]] i un altre que explica [[Special:myLanguage/Concepts/OpenPGP_For_Advanced_Users|conceptes avançats]].


== Claus asimètriques ==
== Claus asimètriques ==


OpenPGP uses key pairs. This means that there is always a ''secret key'' and a ''public key'' belonging together. In contrast to the very intuitive concept of symmetric encryption (i.e. the same password encrypts and decrypts the data) this is hard to understand. Don't think about that, just accept it; the math behind this is a nightmare so for most people going into details would be a stressful waste of time.
OpenPGP utilitza parells de claus. Això vol dir que sempre hi ha una ''clau secreta'' i una ''clau pública'' juntes. En contrast amb el concepte intuïtiu d'encriptatge simètric (és a dir, la mateixa contrasenya encripta i desencripta les dades) això és fa difícil d'entendre. No penseu en això, només accepteu-ho. Les matemàtiques al seu darrere són un malson per a la majoria de les persones, entrar en els detalls seria una pèrdua de temps estressant.


As the names suggest: The secret key is to be known to its owner only, and the public key should be known to everyone ideally. With symmetric encryption the problem was to safely share the password with the recipient of a message. With public keys the problem has changed: Now the hard part is to be sure that you are using the correct public key (and not a forged one an attacker tries to trick you into using).
Com el nom suggereix: La clau secreta sols és coneguda pel seu propietari, i la clau pública és coneguda de manera ideal per tothom. Amb l'encriptatge simètric el problema està en compartir de forma segura la contrasenya amb el destinatari d'un missatge. Amb les claus públiques el problema canvia: Ara la part difícil és assegurar-vos que esteu utilitzant la clau pública correcta (i no una forjada per un atacant que intenta enganyar-vos).


== Encriptatge ==
== Encriptatge ==


One of the two functions of OpenPGP is encryption. You encrypt data to one ore more public keys (symmetric encryption i.e. using a password instead is possible but rarely used). For decrypting the data the secret key of one of the recipient keys is needed.  
Una de les dues funcions d'OpenPGP és l'encriptatge. Encripteu les dades per a una o més claus públiques (encriptatge simètric, és a dir, utilitzant una contrasenya, és possible, però s'utilitza poques vegades). Per desencriptar les dades es necessita la clau secreta d'una de les claus del destinatari.  


Except for the already mentioned problem "Which is the right key to encrypt for?" encryption - decryption is a quite simple operation because there is no room for misunderstanding: You encrypt something and nobody except the owner(s) of the recipient key(s) can read it. And you can either decrypt data or you can't. The decrypted data itself may be hard to understand but the decryption operation is not. But: Part of the "Which is the right key to encrypt for?" question is not only "Who is the owner of this key?" but also "Is this key secure enough for the data to be encrypted?". This is not about key length or similar but about key handling. Thus at least before sending critical information: Ask the key owner about the security level of the key!
Excepte pel problema amb l'encriptatge ja esmentat «Quina és la clau correcta per encriptar?» - el desencriptatge és una operació molt senzilla, perquè no hi ha lloc per a malentesos: Encripteu quelcom i ningú excepte el propietari(s) de la clau del destinatari(s) ho podrà llegir. I aquí teniu com desencriptar o no podeu. Les pròpies dades desencriptades poden ser difícils d'entendre, però l'operació de desencriptatge no ho és. Però: Part de la qüestió «Quina és la clau correcta per encriptar?» no és només «Qui és el propietari d'aquesta clau?» sinó també «És aquesta clau prou segura per a encriptar les dades?». No es tracta de la longitud de clau o similar, sinó del lliurament de les claus. Per tant, abans d'enviar la informació crítica: Pregunteu al propietari de la clau sobre el nivell de seguretat de la clau!


== Signatures digitals ==
== Signatures digitals ==


The encryption of data can be kind of reversed: Instead of creating data which only one key can understand you can create data which everyone can understand but which only one key can have created. This impossibility to create the same data without access to the respective secret key makes this data a signature. Once again: Don't ask for how this is possible unless you really like math.  
L'encriptatge de dades pot ser una mica invers: En lloc de crear dades que només pot entendre una clau, podeu crear dades que tothom pugui entendre, però que només les pot haver creat una clau. Aquesta impossibilitat de crear les mateixes dades sense accés a la clau secreta corresponent fa que d'aquestes dades una signatura. Una vegada més: No pregunteu com és això possible llevat que realment us agradin les matemàtiques.  


One of the great things about digital cryptography is: In contrast to a handwritten signature it is very easy for everyone (OK: for everyone's computer) to check that this signature was made by a certain key. If you can relate a certain key to a person then you can also relate a digital signature to this person – unless, of course, the key has been compromised. You may have noticed: At this point the task becomes an organizational and legal one.  
Una de les millors coses de la criptografia digital és: En contrast amb una signatura manuscrita, la qual és molt fàcil per a tothom (Bé, pera l'ordinador de tothom) per comprovar que aquesta signatura ha estat feta per una determinada clau. Si podeu relacionar una clau específica amb una persona, llavors també podreu relacionar una signatura digital amb aquesta persona -a menys que, per descomptat, la clau hagi estat compromesa-. Us haureu adonat: En aquest punt, la tasca esdevé organitzativa i legal.  


Technology does not solve all of your problems. And it is extremely important that you are always aware where the border between the technical and organizational problems is.
La tecnologia no resol tots els vostres problemes. I és molt important que sempre esteu assabentat d'on es troba la frontera entre els problemes tècnics i d'organització.


And relating a key to a person is not the hard part! That is: "What does the signature mean?" Is your interpretation of a signature legally binding for its creator? The meaning can be as low as a timestamp (which is a perfectly valid an serious application for crypto signatures!), proving nothing more than that a certain document existed at a certain time (and was not created later).  
Relacionar una clau amb una persona no és la part més difícil! Això és: «Què significa exactament la signatura?» És la vostra interpretació d'una signatura, jurídicament vinculant per al seu creador? El significat pot ser tan baix com una marca de temps (el qual és perfectament vàlid en una aplicació seria per a signatures criptogràfiques!), proporcionant res més que la certesa que un cert document existeix en un moment determinat (i que no s'ha creat més tard).  


If somebody signs all his emails (to prevent address forgery) then the pure fact that he sent a certain document within such a signed email does not mean anything except for that he probably wanted to offer you a look at it. If the email (the signed part, not the unsigned subject) says something like "I accept the attached agreement" then the meaning is clear and the remaining risk of the recipient is mainly a technical one (compromised low security key).  
Si algú signa tots els seus missatges de correu electrònic (per evitar la falsificació d'adreces), llavors el pur fet d'enviar un cert document dins d'un correu electrònic signat no significarà res a excepció que probablement us el volia oferir. Si l'adreça de correu electrònic (la part signada, no l'assumpte sense signar) diu alguna cosa així com «Accepto l'acord adjunt», llavors el significat serà clar i el risc restant del destinatari de caràcter tècnic (baix nivell de seguretat i clau compromesa).  


Thus it makes sense to have different keys at different security levels: One for reasonably securing everyday tasks and another one for signing agreements (where the key policy documents explain the limits and privileges of the respective key).
Per tant, té sentit tenir diferents claus en nivells de seguretat diferents: Una per assegurar raonablement les tasques diàries i una altra per a signar acords (on la política de les claus de documents explica els límits i privilegis de la clau corresponent).


In contrast to encryption the signature of data does not (technically) have an addressee. Everyone with access to the public key can check the signature. In many cases that is not a problem (or in contrast: It may even be a requirement). Instead of selecting an addressee you select the secret key which shall be used to create the signature (if you have more than one).
En contrast amb l'encriptatge, la signatura de les dades no (tècnicament) té un destinatari. Totes les persones amb accés a la clau pública poden verificar la signatura. En molts casos això no és un problema (o en contrast: Fins i tot pot ser un requisit). En lloc de seleccionar un destinatari, seleccionareu la clau secreta a utilitzar per crear la signatura (si en teniu més d'una).


The big "Which is the right public key?" problem occurs with signatures, too. Not with creating signatures but when interpreting a successful signature validation. The real life question is: "What does a signature mean?" Obviously a signature by "any" key does not mean anything. Everyone can have created it. The signature itself does not state more than: "Somebody with access to the secret key decided to create this signature." This is a technical fact without relevance in real life.
El gran problema «Quina és la clau pública correcta?» també es produeix amb les signatures. No quan es creen les signatures, sinó quan s'interpreta amb èxit una validació de la signatura. La pregunta real és: «Què significa una signatura?» Òbviament, una signatura de «qualsevol» clau no significa res. Tothom la pot haver creat. La signatura en si no diu més que: «Algú amb accés a la clau secreta ha decidit crear aquesta signatura». Aquest és un fet tècnic i sense rellevància en la vida real.




== Vincles de les claus per a la gent ==
== Vincles de les claus per a la gent ==


This is another hard and complicated part. And because only few people do this correctly the whole system is much less secure than most people believe. You have to tell apart four components of this check. The first is the easiest: the key itself. You have to be sure that you are using the right key material (just the huge random number itself).  
Aquesta és una altra part més difícil i complicada. I de fet, només unes poques persones ho fan correctament, ja que tot el sistema és molt menys segur del que la majoria de la gent creu. Cal distingir entre quatre components d'aquesta comprovació. El primer és el més fàcil: la pròpia clau. Heu d'estar segur que esteu utilitzant el material de la clau correcta (l'enorme número aleatori).  


As keys are to big to be compared manually a secure hash is used instead. Once again: Evil math stuff you fortunately need not understand. A hash function does this: You throw any kind and amount of data at it (from a single digit to a DVD image file) and it outputs a "number" of fixed length. If it is (considered) impossible to create two different inputs which create the same output then the hash function is secure.  
Com les claus són massa grans per a ser comparades manualment, en el seu lloc s'utilitza un hash segur. Una vegada més: Les matemàtiques al seu darrere, afortunadament, no cal entendre-les. Una funció hash ho farà: li llanceu qualsevol tipus i quantitat de dades (des d'un sol dígit a un fitxer d'imatge de DVD) i la seva sortida serà un «número» de longitud fixa. Si és (considera) impossible crear dues entrades diferents que creïn la mateixa sortida, llavors la funció de hash serà segura.  


OpenPGP currently uses the hash function [https://en.wikipedia.org/wiki/Secure_Hash_Algorithm SHA-1] for identifying keys. SHA-1 has security issues but they do not affect the usage in OpenPGP. A SHA-1 value looks like this:
OpenPGP actualment utilitza la funció hash [https://en.wikipedia.org/wiki/Secure_Hash_Algorithm SHA-1] per a identificar les claus. SHA-1 té problemes de seguretat, però que no afecten l'ús a OpenPGP. Un valor SHA-1 es veu així:


     7D82 FB9F D25A 2CE4 5241  6C37 BF4B 8EEF 1A57 1DF5
     7D82 FB9F D25A 2CE4 5241  6C37 BF4B 8EEF 1A57 1DF5


This is called the fingerprint of the key. There are two ways of being safe about the identity of a key (the raw key material) without third parties involved: You get either the key itself from a secure source (USB stick handed over by the key owner) or you get the fingerprint from a secure source (which is obviously much easier as you can print is on small pieces of paper, even on your business card, and spread them).  
Això s'anomena empremta digital de la clau. Hi ha dues maneres de confirmar la identitat d'una clau (el material clau RAW), sense tercers involucrats: Obteniu la clau des d'una font segura (llapis USB lliurat pel propietari de la clau) o obteniu l'empremta digital des d'una font segura (el qual és, òbviament, molt més fàcil doncs es pot imprimir en petits trossos de paper, fins i tot a la targeta de visita, i després distribuir-la).  


Your OpenPGP application shows you the fingerprint of the key you got from an insecure source and you compare "what is" with "what it should be". If that is the same then you can be sure about the key itself. Thus: Always have small slips of paper with your fingerprint with you.
La seva aplicació OpenPGP mostra l'empremta digital de la clau que vau rebre d'una font no segura i compareu «què és» amb el «que hauria de ser». Si és la mateixa, llavors podreu estar segur de la clau. Per tant: tingueu sempre petits trossos de paper amb la vostra empremta digital.


A public OpenPGP key (a "certificate") consists of two parts: the key material and the user IDs. A user ID is just a text string. The typical usage of this string is:
Una clau OpenPGP públic (un «certificat») consta de dues parts: el material de la clau i l'identificador (ID) d'usuari. Un ID d'usuari és una cadena de text. L'ús típic d'aquesta cadena és:


     Nom Sobrenom (comentari) <adreça de correu electrònic>
     Nom Sobrenom (comentari) <adreça de correu electrònic>


Many user IDs do not have a comment, some do not have an email address and there are keys without a (real) name, too (e.g. for anonymous usage). Even if you are sure about the fingerprint the name, email, and comment can be wrong.  
Molts ID d'usuari no tenen un comentari, alguns no tenen una adreça de correu electrònic i també hi ha claus sense un nom (real), (p. ex. per a un ús anònim). Fins i tot si esteu segur de l'empremta digital el nom, correu electrònic i comentaris poden estar equivocats.  


Email is rather easy to check (send an encrypted message to the address and wait for a response which guarantees your message to be decrypted).  
El correu electrònic és més fàcil de comprovar (envieu un missatge encriptat a l'adreça i espereu una resposta que garanteixi que el vostre missatge a estat desencriptat).  


Checking the identity of unknown persons is not easy. At keysigning parties this is done by checking passports and the like. But would you recognize a well forged passport?  
Comprovar la identitat de persones desconegudes no és fàcil. En festes de signatures això es fa mitjançant la comprovació de passaports i similars. Però, reconeixeríeu un passaport falsificat?  


Fortunately for your own purposes the identity is usually not so important. "The one I met on that event who calls himself Peter" is usually enough. So this is more a problem for the web of trust (see below).  
Afortunadament pels vostres propis propósits, la identitat en general no és tan important. «Aquell a qui vaig conèixer en aquest esdeveniment i es va presentar com a Peter» és en general suficient. Per tant, la verificació de la identitat és un problema principalment per a la web confiança (veure més endavant).  


Comments can be critial, too: The comment "CEO of whatever inc." may make a real difference (if not to you then to somebody else). The question when to accept (and certify) a user ID is a really complicated one.  
Els comentaris també poden ser crítcs: El comentari «CEO de qualsevol companyia» poden crear una diferència real (a menys que després hi hagi algú més). La qüestió sobre quan acceptar (i certificar) un ID d'usuari és molt complicada.  


Most people don't understand this problem and thus reduce their own security and that of others. You can make this decision for others easier by having user IDs which consist of just your name or just your email address. This may be easier acceptable by someone checking your user IDs.
La majoria de la gent no entén aquest problema i així redueix la seva pròpia seguretat i la dels altres. El poder prendre aquesta decisió pels altres és més fàcil tenint ID d'usuari que només consisteixin en el seu nom o simplement la seva adreça de correu electrònic. Aquests ID d'usuari poden ser més fàcilment acceptables de revisar per alguns certificadors.


If you are sure about a user ID you should certify it. This means that you make a digital signature over the public key and this user ID. You can make this certification for yourself only (called a "local signature") or for the public (the "web of trust"). If a key has several user IDs then you can decide which ones you certify.  
Si esteu segur sobre un ID d'usuari que heu de certificar. Això vol dir que fareu una signatura digital sobre la clau pública i l'ID d'usuari. Només podeu realitzar aquesta certificació per a vosaltres mateixos (s'anomena una «signatura local») o per al públic («xarxa de confiança»). Si una clau té diversos ID d'usuari, llavors podreu decidir quins certifiqueu.  


You can give a rough hint how well you have checked the user ID and key, too. It makes a big difference to OpenPGP applications (and so should it to you!) whether they recognize a key as "valid" or not.  
També podeu donar una idea aproximada sobre com heu comprovat l'ID d'usuari i la clau. Per aplicacions OpenPGP (i espero que per a tu també!) hi ha una gran diferència respecte a si es reconeix o no una clau com a «vàlida».  


The keys you have the secret key for are considered valid automatically. The others can become valid by signatures of your own keys. And by keys of others.
Les claus que disposen de la clau secreta es considerarà vàlides automàticament. Les altres poden obtenir la validesa des de les signatures de les seves pròpies claus. I per les altres claus.


== El web de confiança (web of trust -WoT-) ==
== El web de confiança (web of trust -WoT-) ==


In connection with OpenPGP you will often hear about the web of trust. This in an indirect method for relating people to keys, a mighty but complicated technology. Beginners should not use the web of trust but first become familiar with verifying and certifying keys directly. The WoT is explained in the article [[Special:myLanguage/Concepts/OpenPGP_For_Advanced_Users|OpenPGP For Advanced Users]].
En relació amb OpenPGP sovint sentireu xarxa de confiança. Aquest és un mètode indirecte per a relacionar les persones amb les claus, una tecnologia poderosa, però complicada. Els principiants no l'han d'utilitzar, però es familiaritzaran amb la verificació i certificació de les claus. El WoT s'explica a l'article [[Special:myLanguage/Concepts/OpenPGP_For_Advanced_Users|OpenPGP per a usuaris avançats]].






== Resum de l'ús de la clau ==
== Resum sobre l'ús de la clau ==


{| class="wikitable" border="1"<!--}-->
{| class="wikitable" border="1"<!--}-->
|-
|-
! you need
! necessiteu
! in order to
! per a


|-
|-
| rowspan="2"| the public key of another person
| rowspan="2"| la clau pública d'una altra persona
| encrypt data for him
| encriptar les dades per a ell


|-
|-
| check those key's signatures (technical correctness, not key validity)
| comprovar les signatures d'aquesta clau (correcció tècnica, no validesa de la clau)


|-
|-
| rowspan="2"| your secret subkeys
| rowspan="2"| les vostres subclaus secretes
| decrypt data that has been encrypted for you
| desencriptar les dades que us han encriptat


|-
|-
| create signatures for data
| crear signatures per a les dades


|-
|-
| rowspan="2"| your secret main key
| rowspan="2"| la vostra clau secreta principal
| manage your key (add user IDs or subkeys, change settings like expiration date)
| gestionar la vostra clau (afegir els ID d'usuari o subclaus, canviar els ajustaments com la data de venciment)


|-
|-
| certify other keys (i.e. some or all of their user IDs)
| certificar altres claus (és a dir, algun o la totalitat dels seus ID d'usuari)


|-
|-
| the fingerprint of the key of another person
| l'empremta digital de la clau d'una altra persona
| ensure that you have imported the right key (before certifying the key either locally or for the public)
| assegurar-vos que heu importat la clau correcta (abans de certificar la clau de manera local o per al públic)
<!--{-->|}
<!--{-->|}


Latest revision as of 19:28, 23 December 2013

Other languages:

Introducció

La seguretat efectiva amb una solució de criptografia depèn més de conèixer el que feu i el que signifiquen certes dades tècniques (i el que no!) en la llargària de la clau i el mateix programari. Així, aquest article donarà una introducció als conceptes bàsics d'OpenPGP.

Aquesta guia d'aprenentatge és per a principiants, de manera que qualsevol cosa massa complicada quedarà fora. A més, no trobareu explicacions de com fer quelcom amb un cert programari. Per això ja disposeu de la documentació del programari. Això us ajudarà a entendre millor les accions que s'expliquen allà.

Hi ha un article que us prepara per a la generació de la clau i un altre que explica conceptes avançats.

Claus asimètriques

OpenPGP utilitza parells de claus. Això vol dir que sempre hi ha una clau secreta i una clau pública juntes. En contrast amb el concepte intuïtiu d'encriptatge simètric (és a dir, la mateixa contrasenya encripta i desencripta les dades) això és fa difícil d'entendre. No penseu en això, només accepteu-ho. Les matemàtiques al seu darrere són un malson per a la majoria de les persones, entrar en els detalls seria una pèrdua de temps estressant.

Com el nom suggereix: La clau secreta sols és coneguda pel seu propietari, i la clau pública és coneguda de manera ideal per tothom. Amb l'encriptatge simètric el problema està en compartir de forma segura la contrasenya amb el destinatari d'un missatge. Amb les claus públiques el problema canvia: Ara la part difícil és assegurar-vos que esteu utilitzant la clau pública correcta (i no una forjada per un atacant que intenta enganyar-vos).

Encriptatge

Una de les dues funcions d'OpenPGP és l'encriptatge. Encripteu les dades per a una o més claus públiques (encriptatge simètric, és a dir, utilitzant una contrasenya, és possible, però s'utilitza poques vegades). Per desencriptar les dades es necessita la clau secreta d'una de les claus del destinatari.

Excepte pel problema amb l'encriptatge ja esmentat «Quina és la clau correcta per encriptar?» - el desencriptatge és una operació molt senzilla, perquè no hi ha lloc per a malentesos: Encripteu quelcom i ningú excepte el propietari(s) de la clau del destinatari(s) ho podrà llegir. I aquí teniu com desencriptar o no podeu. Les pròpies dades desencriptades poden ser difícils d'entendre, però l'operació de desencriptatge no ho és. Però: Part de la qüestió «Quina és la clau correcta per encriptar?» no és només «Qui és el propietari d'aquesta clau?» sinó també «És aquesta clau prou segura per a encriptar les dades?». No es tracta de la longitud de clau o similar, sinó del lliurament de les claus. Per tant, abans d'enviar la informació crítica: Pregunteu al propietari de la clau sobre el nivell de seguretat de la clau!

Signatures digitals

L'encriptatge de dades pot ser una mica invers: En lloc de crear dades que només pot entendre una clau, podeu crear dades que tothom pugui entendre, però que només les pot haver creat una clau. Aquesta impossibilitat de crear les mateixes dades sense accés a la clau secreta corresponent fa que d'aquestes dades una signatura. Una vegada més: No pregunteu com és això possible llevat que realment us agradin les matemàtiques.

Una de les millors coses de la criptografia digital és: En contrast amb una signatura manuscrita, la qual és molt fàcil per a tothom (Bé, pera l'ordinador de tothom) per comprovar que aquesta signatura ha estat feta per una determinada clau. Si podeu relacionar una clau específica amb una persona, llavors també podreu relacionar una signatura digital amb aquesta persona -a menys que, per descomptat, la clau hagi estat compromesa-. Us haureu adonat: En aquest punt, la tasca esdevé organitzativa i legal.

La tecnologia no resol tots els vostres problemes. I és molt important que sempre esteu assabentat d'on es troba la frontera entre els problemes tècnics i d'organització.

Relacionar una clau amb una persona no és la part més difícil! Això és: «Què significa exactament la signatura?» És la vostra interpretació d'una signatura, jurídicament vinculant per al seu creador? El significat pot ser tan baix com una marca de temps (el qual és perfectament vàlid en una aplicació seria per a signatures criptogràfiques!), proporcionant res més que la certesa que un cert document existeix en un moment determinat (i que no s'ha creat més tard).

Si algú signa tots els seus missatges de correu electrònic (per evitar la falsificació d'adreces), llavors el pur fet d'enviar un cert document dins d'un correu electrònic signat no significarà res a excepció que probablement us el volia oferir. Si l'adreça de correu electrònic (la part signada, no l'assumpte sense signar) diu alguna cosa així com «Accepto l'acord adjunt», llavors el significat serà clar i el risc restant del destinatari de caràcter tècnic (baix nivell de seguretat i clau compromesa).

Per tant, té sentit tenir diferents claus en nivells de seguretat diferents: Una per assegurar raonablement les tasques diàries i una altra per a signar acords (on la política de les claus de documents explica els límits i privilegis de la clau corresponent).

En contrast amb l'encriptatge, la signatura de les dades no (tècnicament) té un destinatari. Totes les persones amb accés a la clau pública poden verificar la signatura. En molts casos això no és un problema (o en contrast: Fins i tot pot ser un requisit). En lloc de seleccionar un destinatari, seleccionareu la clau secreta a utilitzar per crear la signatura (si en teniu més d'una).

El gran problema «Quina és la clau pública correcta?» també es produeix amb les signatures. No quan es creen les signatures, sinó quan s'interpreta amb èxit una validació de la signatura. La pregunta real és: «Què significa una signatura?» Òbviament, una signatura de «qualsevol» clau no significa res. Tothom la pot haver creat. La signatura en si no diu més que: «Algú amb accés a la clau secreta ha decidit crear aquesta signatura». Aquest és un fet tècnic i sense rellevància en la vida real.


Vincles de les claus per a la gent

Aquesta és una altra part més difícil i complicada. I de fet, només unes poques persones ho fan correctament, ja que tot el sistema és molt menys segur del que la majoria de la gent creu. Cal distingir entre quatre components d'aquesta comprovació. El primer és el més fàcil: la pròpia clau. Heu d'estar segur que esteu utilitzant el material de la clau correcta (l'enorme número aleatori).

Com les claus són massa grans per a ser comparades manualment, en el seu lloc s'utilitza un hash segur. Una vegada més: Les matemàtiques al seu darrere, afortunadament, no cal entendre-les. Una funció hash ho farà: li llanceu qualsevol tipus i quantitat de dades (des d'un sol dígit a un fitxer d'imatge de DVD) i la seva sortida serà un «número» de longitud fixa. Si és (considera) impossible crear dues entrades diferents que creïn la mateixa sortida, llavors la funció de hash serà segura.

OpenPGP actualment utilitza la funció hash SHA-1 per a identificar les claus. SHA-1 té problemes de seguretat, però que no afecten l'ús a OpenPGP. Un valor SHA-1 es veu així: 

   7D82 FB9F D25A 2CE4 5241  6C37 BF4B 8EEF 1A57 1DF5

Això s'anomena empremta digital de la clau. Hi ha dues maneres de confirmar la identitat d'una clau (el material clau RAW), sense tercers involucrats: Obteniu la clau des d'una font segura (llapis USB lliurat pel propietari de la clau) o obteniu l'empremta digital des d'una font segura (el qual és, òbviament, molt més fàcil doncs es pot imprimir en petits trossos de paper, fins i tot a la targeta de visita, i després distribuir-la).

La seva aplicació OpenPGP mostra l'empremta digital de la clau que vau rebre d'una font no segura i compareu «què és» amb el «que hauria de ser». Si és la mateixa, llavors podreu estar segur de la clau. Per tant: tingueu sempre petits trossos de paper amb la vostra empremta digital.

Una clau OpenPGP públic (un «certificat») consta de dues parts: el material de la clau i l'identificador (ID) d'usuari. Un ID d'usuari és una cadena de text. L'ús típic d'aquesta cadena és: 

   Nom Sobrenom (comentari) <adreça de correu electrònic>

Molts ID d'usuari no tenen un comentari, alguns no tenen una adreça de correu electrònic i també hi ha claus sense un nom (real), (p. ex. per a un ús anònim). Fins i tot si esteu segur de l'empremta digital el nom, correu electrònic i comentaris poden estar equivocats.

El correu electrònic és més fàcil de comprovar (envieu un missatge encriptat a l'adreça i espereu una resposta que garanteixi que el vostre missatge a estat desencriptat).

Comprovar la identitat de persones desconegudes no és fàcil. En festes de signatures això es fa mitjançant la comprovació de passaports i similars. Però, reconeixeríeu un passaport falsificat?

Afortunadament pels vostres propis propósits, la identitat en general no és tan important. «Aquell a qui vaig conèixer en aquest esdeveniment i es va presentar com a Peter» és en general suficient. Per tant, la verificació de la identitat és un problema principalment per a la web confiança (veure més endavant).

Els comentaris també poden ser crítcs: El comentari «CEO de qualsevol companyia» poden crear una diferència real (a menys que després hi hagi algú més). La qüestió sobre quan acceptar (i certificar) un ID d'usuari és molt complicada.

La majoria de la gent no entén aquest problema i així redueix la seva pròpia seguretat i la dels altres. El poder prendre aquesta decisió pels altres és més fàcil tenint ID d'usuari que només consisteixin en el seu nom o simplement la seva adreça de correu electrònic. Aquests ID d'usuari poden ser més fàcilment acceptables de revisar per alguns certificadors.

Si esteu segur sobre un ID d'usuari que heu de certificar. Això vol dir que fareu una signatura digital sobre la clau pública i l'ID d'usuari. Només podeu realitzar aquesta certificació per a vosaltres mateixos (s'anomena una «signatura local») o per al públic («xarxa de confiança»). Si una clau té diversos ID d'usuari, llavors podreu decidir quins certifiqueu.

També podeu donar una idea aproximada sobre com heu comprovat l'ID d'usuari i la clau. Per aplicacions OpenPGP (i espero que per a tu també!) hi ha una gran diferència respecte a si es reconeix o no una clau com a «vàlida».

Les claus que disposen de la clau secreta es considerarà vàlides automàticament. Les altres poden obtenir la validesa des de les signatures de les seves pròpies claus. I per les altres claus.

El web de confiança (web of trust -WoT-)

En relació amb OpenPGP sovint sentireu xarxa de confiança. Aquest és un mètode indirecte per a relacionar les persones amb les claus, una tecnologia poderosa, però complicada. Els principiants no l'han d'utilitzar, però es familiaritzaran amb la verificació i certificació de les claus. El WoT s'explica a l'article OpenPGP per a usuaris avançats.


Resum sobre l'ús de la clau

necessiteu per a
la clau pública d'una altra persona encriptar les dades per a ell
comprovar les signatures d'aquesta clau (correcció tècnica, no validesa de la clau)
les vostres subclaus secretes desencriptar les dades que us han encriptat
crear signatures per a les dades
la vostra clau secreta principal gestionar la vostra clau (afegir els ID d'usuari o subclaus, canviar els ajustaments com la data de venciment)
certificar altres claus (és a dir, algun o la totalitat dels seus ID d'usuari)
l'empremta digital de la clau d'una altra persona assegurar-vos que heu importat la clau correcta (abans de certificar la clau de manera local o per al públic)


Altres lectures

Retrieved from "https://wikisandbox.kde.org/index.php?title=Concepts/OpenPGP_For_Beginners/ca&oldid=322995"