Cómo: Utilizar a OTR en Linux

Local de download: Disponible a través del Software Center incorporado.

Requisitos del equipo: Conexión con internet; ordenador con Linux; una cuenta XMPP (Jabber).

Versiones utilizadas en este guía: Linux Mint 17; Pidgin 2.10.9, pidgin-otr 4.0.0-1

Licencia: Free Software; mix de licencias Free Software

Nivel: Iniciante

Tiempo necesario: 20 minutos

NOTA: Esta guía no se está siendo revisada ni actualizada de forma activa, y actualmente está retirada. Si desea utilizar Pidgin u otra forma de mensajería OTR para Linux, consulte los sitios web y la documentación de dichos servicios para obtener información sobre cómo instalarlos y utilizarlos.

Qué es OTR? anchor link

OTR (Off-the-record) es un protocolo que permite conversaciones sigilosas por intermedio de aplicativos de mensaje ya conocidos por los usuarios. OTR ofrece esta seguridad:

• cifrado de tus charlas
• proporcionándote  una manera de estar seguro de que la persona con quien estás hablando es realmente la persona que dice ser.
• no permitiendo el servidor entrar o tener acceso a sus conversaciones

Esto no debe ser confundido con “Off the record” de Google, lo que meramente bloquea la entrada en chats y no tiene la capacidad de encriptación o verificación.

Hay muchas maneras de utilizar OTR en Linux. En este guía, proporcionamos un paso a paso sobre cómo utilizar al plug-in de OTR en Pigdin. Pidgin es un programa popular de mensajería instantánea disponible en diversas distribuciones Linux. Puede ser extendido con habilidades adicionales a través de plug-ins, normalmente instalados separadamente.

El aplicativo de mensajes instantáneas, Pigdin, automáticamente conecta conversaciones non-OTR por default, sin embargo usted puede bloquear a esta función. Dito esto, usted no tiene control sobre la persona con quién hablas – ella pode recordar o sacar instantáneos de la conversación, mismo si usted mismo ha bloqueado a la grabación.

Por qué debo utilizar Pigdin + OTR? anchor link

Cuándo realizas una conversación utilizando a Google Hangouts o Facebook en sus respectivos sitios, el chat es encriptado por HTTPS , lo que significa que el contenido es protegido contra hackers o terceros mientras en tránsito. No obstante, no estás a salvo ni de Google ni de Facebook, que poseen las llaves de tu charla y pueden entregarlas a las autoridades.

Después de instalar Pigdin, puedes conectarse utilizando múltiplas cuentas al mismo tiempo. Por ejemplo, puede utilizar a Google Hangouts, Facebook y XMPP simultáneamente. Pigdin también permite el chat por esos medios sin OTR. Una vez que OTR sólo funciona cuándo ambas las personas lo utilizan, lo mismo si la otra persona no lo tiene instalado,  todavía puedes hablar con ella utilizando Pigdin.

Pidgin también permite la verificación out-of-band para asegurarse de que estás hablando con la persona con quién desea hablar y no estés sujeto a un ataque MITM. Para cada conversación, hay una opción que te mostrará la “key fingerprint” para ti y la persona con quién hablaa. Una “key fingerprint” es una secuencia de caracteres cómo "342e 2309 bd20 0912 ff10 6c63 2192 1928,” que sirve para verificar una llave publica más larga. Intercambia tus “fingerprints” a través de otro medio de comunicación como Twitter DM o e-mail, para garantir que nadie interfiera en tu conversación.

Limitaciones: Cuándo no debo utilizar a Pigdin + OTR? anchor link

Los tecnólogos tienen un termino para describir cuándo un programa o tecnología puede estar vulnerable a un ataque externo: ellos dicen que  tiene una amplia “superficie de ataque”. Pigdin tiene una ampla superficie de ataque. Es un programa complejo que no fue escrito con seguridad cómo prioridad máxima. Él casi cierto tiene bugs, y algunos de ellos pueden ser utilizados por gobiernos o mismo grandes compañías para invadir ordenadores que lo utilizan. Utilizar a Pigdin para cifrar sus conversaciones es una gran defensa contra el tipo de vigilancia general y no direccionada para espiar las comunicaciones en Internet de todas las personas, pero si piensas que serás el objetivo de un atacante con recursos (como un Estado), debes considerar precauciones más fuertes, cómo e-mail con criptografía PGP .

Adquiriendo y instalando a Pigdin y Pigdin OTR anchor link

Mientras Pigdin y el plug-in OTR funcionan de manera similar en toda distribución Linux, hay diferencias. La mayor de ellas es cómo encontrar y instalar Pigdin y Pigdin OTR.

En el paso a paso abajo, utilizamos Mint 17, que proporciona Pigdin como default y Pigdin OTR en su Mint Software Center. Ambos los programas casi ciertamente estarán disponibles en su proprio repositorio de software: Ubuntu Software Center para Ubuntu, PackageKit para Redhat o Fedora, el comando apt-get para Debian y así sucesivamente. El paquete para el plug-in OTR es comumente llamada “pigdin-otr”. 

Pigdin puede también parecer significativamente diferente de las pantallas abajo, basado en cuál gestor de pantalla Linux utilizas.

Para instalar a pigdin-otr en mint, haz click en el Mint menú y selecciona el ícono Mint Software Center.

Una ventana abre y solicita tu contraseña . Digita tu contraseña y selecciona “OK”.

Ahora la ventana principal del Software Center si abre.

Encontrarás pigdin-otr en el Software Center después de digitar “pigdin” en la barra de búsqueda y hacer clic en “Enter”.

Haz doble-click en la entrada de pigdin-otr para ver más información sobre pigdin-otr.

Haz clic en “Install”. El Software Center instalará pigdin-otr. Mientras pigdin-otr se instala, verás una barra de carga al pie de la ventana del “Software Center”. Una vez completa la instalación, el botón “Install” se convertirá en el botón “Remove”.

Configurando Pidgin anchor link

Haz clic en el menú Mint, navega por la sección “Internet” y selecciona “Pigdin Internet Messenger” del menú.

Añadiendo una cuenta anchor link

Cuándo Pigdin abra por la primera vez, verás una ventana de “bienvenido” dándote la opción de añadir una cuenta. Ya que todavía no tienes una cuenta configurada, haz click al botón “Add”.

Ahora verás la ventana “Add Account”. Pigdin puede trabajar con varios sistemas de chat, pero nos centraremos en XMPP, anteriormente conocido como Jabber.

En la entrada Protocol, selecciona la opción “XMPP”.

Para “Username”, digita tu usuario XMPP.

En “Domain”, digita el dominio de tu cuenta XMPP.

En “Password”, escribe tu contraseña XMPP.

Haz clic en la caja “Remember password” facilitará el acceso a tu cuenta. Se consciente de que recordar su contraseña guardará la misma en su ordenador, facilitando el acceso a alguien que posea control de tu ordenador. Si esta es una preocupación, no hagas clic en esta caja, y así será necesario ingresar tu contraseña XMPP siempre que te conectas a Pigdin.

Añadindo a un “Amigo” anchor link

Ahora querrás añadir a alguien para hablar. Clique al menú “Buddies” y seleccione “Add Buddy”. Una ventana “Add Buddy” abrirá.

En la ventana “Add”  puedes insertar el nombre de usuario de la persona con quien quieras hablar. Este otro usuario no necesita tener el mismo servidor, pero necesita utilizar el mismo protocolo, como XMPP.

En la entrada “Buddy’s username”, ingresa el nombre de usuario con el nombre de dominio. Esto es similar a un e-mail.

En la entrada “(Optional) Alias”, puedes insertar un nombre de tu preferencia. Esto es enteramente opcional, pero puede ayudar si la cuenta XMPP de la persona con quién deseas hablar es difícil de recordar.

haz clic en “Add."

Al hacer clic en “Add”, Boris recibirá un mensaje preguntando si él desea autorizar el añadirlo. Si Boris lo hace, él añadirá tu cuenta y recibirás la misma solicitud. haz clic en “Authorize”.

Configurando el plugin OTR anchor link

Ahora configurarás el plug-in OTR para hablar con seguridad. Ve al menú “Tools” y selecciona la opción “Plugins ”.

Ve hacia abajo hasta que encuentres la opción “Off-the-Record Messaging” y marque la caja. Ahora clique en la entrada “Off-the-Record Messaging” y después al botón “Configure Plugin”.

Ahora verás la ventana de configuración “Off-the-Record Messaging”. Debes notar que en ella dice “No key present”. Clique al botón “Generate”.

Ahora una pequeña ventana se abrirá y generará una llave. Después de concluir, clique “OK”.

Ahora verás una pieza de información: una cadena de texto de 40 caracteres, dividida en 5 grupos de 8 caracteres. Esta es tu OTR fingerprint. Conservala y haz clic en el botón “Close”.

Ahora haz clic al botón “Close” en la ventana “Plugins”.

Charlando con seguridad anchor link

Ahora es capaz de charlar con Boris. Los dos pueden enviar mensajes un al otro. Sin embargo, todavía no estamos hablando con seguridad. Mismo conectado a un servidor XMPP, es posible que la conexión entre usted y Boris no esté segura contra curiosos. Si miras la ventana del chat, notarás que ella dice “Not private” en rojo al pie derecho de la ventana. haz clic al botón “Not private”.

Un menú se abrirá; selecciona “Start private conversation”.

Date cuenta que el botón ahora dice “Unverified” en amarillo. Mientras tu conversación ahora está cifrada, puede ser que un adversario tenga interceptado tu conversación y la esté escuchando (lo que llamamos de ataque “man-in-the-middle”). Para garantir que tu conversación está completamente segura, debes verificar que la persona en el otro lado de la conversación cifrada es de facto tu “buddy”. Para hacer eso, haz clic al botón “Unverified”.

Un menú se abrirá; selecciona “Authenticate buddy”.

Una ventana se abrirá y se te preguntará “How would you like to authenticate your buddy?” (Cómo le gustaría autenticar a tu amigo?)

La lista tiene tres opciones:

Secreto compartido (“Shared Secret”) anchor link

Un secreto compartido es una línea de texto que tú y la persona con quién quieres hablar acordaran en utilizar con antelación. Cuándo es posible, comparta esta línea de texto con la otra persona presencialmente; nunca comparta esta información por canales inseguros como e-mail o Skype.

Ustedes necesitan insertar juntos él texto. haz clic en “Authenticate”.

La verificación por secreto compartido es útil si tú y tu “buddy” ya se han preparado para hablar en el futuro pero todavía no crearon OTR fingerprints en el ordenador que utilizan.

Verificación manual por fingerprint anchor link

La verificación manual por fingeprint es útil si ya recibiste el fingerprint de tu amigo y ahora te conectas por pigdin. Ella no será útil si tu amigo ha cambiado de ordenador o creado nuevos fingerprints.

Si el fingerprint que recibiste es compatible con el fingerprint de la pantalla, selecciona “I have” y haz clic al botón “Authenticate”.

Pregunta y respuesta anchor link

La verificación por pregunta y respuesta es útil si conoces a tu amigo pero no has acordado un secreto compartido (shared secret) ni tenido la oportunidad de compartir fingerprints. Este método es útil para establecer la verificación basada en algo que ambos conozcan, como un evento o memoria compartida.

Inserta la pregunta que quieras hacer. No la hagas tan simple que alguien la pueda descifrar fácilmente, pero también no la hagas imposible. Un buen ejemplo de pregunta puede ser “Dónde fuimos cenar en Minneapolis?”. Un ejemplo de mala pregunta es “Es posible comprar manzanas en Tokio?”.

El formato importa, entonces debes considerar una nota en paréntesis como (por ejemplo: escriba en minúsculas).

ingresa la pregunta y haz clic en “Authenticate”.

Tu amigo tendrá una ventana abierta con la pregunta pidiendo la respuesta. Él hará clic en el botón “Authenticate” y entonces recibirá un mensaje informándole que la autenticación fue exitosa.

Tan pronto tu amigo completa el proceso de autenticación, recibirás una ventana informándole que la autenticación fue un éxito.

Tu amigo también debe verificar tu cuenta así ambos tienen la certeza que la comunicación es segura. Abajo es como debe aparecer para Akiko y Boris. Nota el ícono verde “Private” en la parte baja a la derecha de la ventana.

Trabajando con otro software anchor link

Los mecanismos para verificar la autenticidade deben funcionar en otros softwares de chat como Jitsi, Pidgdin, Adium y Kopete. No necesitas utilizar el mismo software de chat para utilizar chat sobre XMPP y OTR, pero hay veces que hay errores en el software. Adium, un software de chat para OS X, presenta un error al recibir la verificación por Pregunta y Respuesta. Si sospechas que la verificación de otros presenta errores cuándo utilizas la verificación “Question and Answer”, verifique si ellos usan Adium y trata de utilizar algún otro medio de autenticación.