Cifrado de correo electrónico OpenPGP con Thunderbird¶

Nitrokey 3	Nitrokey Passkey	Nitrokey FIDO2	Nitrokey U2F	Nitrokey HSM 2	Nitrokey Pro 2	Nitrokey Start	Nitrokey Storage 2
✓	⨯	⨯	⨯	⨯	✓	✓	✓

Thunderbird 78.3 y posteriores ¶

Por el momento el soporte 78 de Thunderbird para los correos electrónicos OpenPGP no es fácil de configurar. Consulte la documentación de Thunderbird para más detalles. Aquí hay una guía completa en alemán.

Solución de problemas ¶

Mensaje de error: El ID de la llave configurada '4BA0183FCBA844A7' no se encuentra en su llavero

Asegúrese de que la clave pública se importa al gestor de Thunderbird y
El ID de la clave no contiene ningún espacio en blanco y consta de 16 caracteres del rango 0-9 A-F
tiene instalado el software GPA o Kleopatra.

Por favor, utilice el software Kleopatra o GPA para manejar la tarjeta inteligente.

Thunderbird 77 y anteriores ¶

Instalación ¶

Instale el controlador del dispositivo como se describe aquí.
Instale Thunderbird y el complemento Enigmail.

Cambio de PINs ¶

Hay dos PINs para la Nitrokey:

El PIN de usuario necesario para el trabajo diario
El PIN de administrador es necesario para cambiar las llaves u otros ajustes del dispositivo. Además, el Nitrokey puede desbloquearse (por ejemplo, después de haber introducido 3 veces incorrectamente el PIN de usuario) mediante el PIN de administrador.

Después de recibir la Nitrokey, debe cambiar inmediatamente el PIN de usuario = «123456» y el PIN de administrador = «12345678».

Procedimiento ¶

Inserte el Nitrokey en un puerto USB de su ordenador.
Inicie Thunderbird.
En Thunderbird, seleccione como se muestra en la siguiente imagen. «OpenPGP» → «Gestionar tarjeta inteligente».
En la ventana «Detalles de la tarjeta inteligente», seleccione «Tarjeta inteligente → Cambiar PIN»
Seleccione «Cambiar PIN». Este es su PIN de usuario que necesita para el trabajo diario. Introduzca el PIN actual («123456» para la entrega) y dos veces su nuevo PIN. Para este PIN puede utilizar los caracteres: a-z A-Z 0-9 / .;;:- !? () [] {}% +. El PIN debe tener al menos 6 caracteres. Haga clic en «Aceptar».
Repita el procedimiento para el PIN de administrador. «Tarjeta inteligente → Cambiar PIN»
Seleccione Cambiar el PIN de administrador. Este es su PIN de administrador que sólo necesita en contadas ocasiones. Introduzca el PIN actual («12345678» para la entrega) y el nuevo PIN dos veces. Para este PIN, puede utilizar los caracteres: a-z A-Z 0-9 / .;;:- !? () [] {}% +. El PIN debe tener al menos 8 caracteres. Haga clic en «Aceptar».

Ahora ha cambiado los PINs y debería seguir generando sus claves personales.

Generación de claves ¶

To encrypt data and e-mails, a key pair consisting of a public key and a private key, must first be generated. The so-called public key is used to encrypt the data or e-mails. You can distribute this to all those with whom you want to communicate securely (for example, publish it publicly on your site). The so-called private key is used to decrypt the data or messages. This key should NEVER be made known! Usually, you also do not have direct access to it (see below), since this is stored securely on the Nitrokey. Use the Nitrokey to create both keys using the following procedure:

Inserte el Nitrokey en un puerto USB de su ordenador. InicieThunderbird
En Thunderbird, seleccione como se muestra en la siguiente imagen «OpenPGP» → «Gestionar tarjeta inteligente»
En la ventana «Detalles de la tarjeta inteligente», seleccione «Tarjeta inteligente» → «Generar clave»
En la siguiente ventana, seleccione la dirección de correo electrónico para la que desea generar claves. Compruebe que la dirección de correo electrónico especificada en «ID de usuario» es correcta. También puede especificar si debe guardarse una copia de seguridad de la clave privada en su ordenador.
Si no crea una copia de seguridad, no tendrá ninguna posibilidad de recuperar sus datos encriptados si la Nitrokey se pierde o se daña.
Se recomienda guardar este dispositivo de seguridad. Seleccione «Guardar copia de seguridad de la llave fuera de la tarjeta Smard». A continuación, introduzca su contraseña personal para la copia de seguridad en «Frase de acceso». Esta contraseña no debe tener menos de 8 caracteres y debe contener tanto letras mayúsculas como minúsculas y números. También puede utilizar una frase larga, pero evite la prosa o la letra conocida. Además, no debe utilizarse ningún nombre o término conocido.

Caracteres permitidos: a-z A-Z 0-9 /.,;:-!?( )%+ (sin diéresis ä,ü,ö,Ä,Ü,Ö o ß)

Contraseña pobre: qwertz123, IchliebeSusi3, Contraseña, Si puedes soñarlo, puedes hacerlo.

Contraseña fuerte: g(Ak?2Pn7Yn oder Ki.stg2bLqzp%d o Un perro con orejas griegas y patas de pífano (los errores ortográficos aumentan la seguridad)

You do not need this password for daily work. It is only necessary for the restoration of the secret key, e.g. if you have lost the Nitrokey. Therefore, keep the password in a safe place.

También puede especificar si la clave debe quedar invalidada automáticamente y cuándo. Esto significa que, a partir de este momento, no se podrán cifrar más correos electrónicos con esta clave y habrá que crear un nuevo par de claves.

Por último, haga clic en «Generar par de claves».
Ahora se le pregunta si se debe generar la clave. Confirme con «Sí».
Para que el programa escriba sus claves en el stick, debe introducir el PIN de administrador y el PIN de usuario (cambiado anteriormente).

La generación de la clave puede durar unos minutos. No termine el programa antes de tiempo.
Cuando la generación de la clave ha finalizado, recibirá el siguiente mensaje. Ahora se ha creado un certificado que le permite invalidar su clave en caso de emergencia. Este certificado se guarda automáticamente con su clave privada. Deberá imprimirlo o realizar una copia de seguridad en al menos otro soporte externo para poder revocar la validez de las claves en caso de pérdida de las mismas y de las copias de seguridad. Haga clic en «Sí».

Ahora puede seleccionar el directorio en el que se almacena la copia de seguridad. Esta copia está encriptada con su contraseña introducida anteriormente. Esto significa que nadie puede leer o utilizar las claves sin su contraseña. No facilite su contraseña a nadie. Este archivo con el nombre de su dirección de correo electrónico y el sufijo «.asc» debe ser respaldado en otro medio. Después de seleccionar el directorio, haga clic en «Guardar».
Aquí debe especificar de nuevo su PIN de usuario o frase de contraseña. A continuación, haga clic en «Aceptar».
Repita el procedimiento para el PIN de administrador. «Tarjeta inteligente → Cambiar PIN»
Ahora verá el mensaje de que el certificado fue creado y guardado. Haga clic en «Aceptar».
La generación de claves ha finalizado. Ahora puede salir del programa (Archivo - Cerrar).