¿Es redundante firmar un mensaje PGP cifrado?

En la criptografía, la firma y el cifrado son ortogonales.

El cifrado de datos proporciona confidencialidad: (idealmente) solo el destinatario deseado podrá acceder al texto sin formato. Los sistemas modernos de encriptación de mensajes generalmente están diseñados para no ser maleables, lo que significa que es muy difícil cambiar un mensaje. Dicho esto, un adversario que es capaz de interceptar y prevenir la transmisión del mensaje intencionado puede transmitir fácilmente un mensaje completamente diferente, y sin una verificación fuera de banda, no hay manera de decir que eso sucedió. En términos generales, el cifrado es el equivalente a un sobre.

Los datos de firma proporcionan autenticidad y no rechazo: (idealmente) solo el remitente real podrá producir una firma válida para un mensaje dado usando su clave, y el remitente no podrá reclamar más tarde que no tenga hizo la firma. (Tenga en cuenta que especialmente esta última no siempre es una propiedad deseable, y existen sistemas criptográficos que son diferentes en ese sentido, pero con las claves secretas mantenidas en secreto, así es como funcionan las firmas de OpenPGP). Un mensaje firmado está protegido de modificaciones, pero no de Leer o analizar por alguien con acceso a él. En términos generales, firmar es el equivalente a laminar una postal antes de enviarla. Tenga en cuenta que un mensaje firmado puede tener un blindaje ASCII sin estar cifrado; El blindaje ASCII no proporciona confidencialidad adicional, ya que es simplemente una representación diferente de los mismos datos.

Si utiliza uno, el otro, ambos, (técnicamente: o ninguno), depende completamente de lo que está tratando de lograr al pasar el texto plano a través de una implementación de OpenPGP como PGP o GnuPG.

Hay errores implicados en la realización manual de los pasos de cifrado y firma como pasos separados, por lo que, para mayor seguridad, si desea utilizar ambos, debe usar la función "cifrar y firmar" de PGP / GnuPG, en lugar de primero cifrar y luego solo firmar más tarde (o al revés).

Un mensaje cifrado PGP que no está firmado no tiene la autenticidad y el no repudio garantiza que usted obtiene al firmar y cifrando el mismo mensaje, de manera similar a como un mensaje firmado no tiene La confidencialidad garantiza que obtiene al firmar el cifrado y .

El cifrado protege los datos de las personas que no pueden descifrarlos. La firma es para que los receptores puedan verificar que el mensaje realmente proviene del remitente (no repudio).