El proceso de certificación PGP

Para facilitar el intercambio y la certificación de claves, PGP asigna a cada clave pública una huella (fingerprint), que es simplemente un hash del valor de la clave. Esta huella se utiliza para que un usuario pueda comprobar que la clave que ha recibido de otro, o de un servidor de claves, sea efectivamente la que quería recibir y no una falsificación. El identificador de clave no es suficiente para este fin, ya que es posible para un impostor construir una clave pública de la cual conozca la clave privada y que tenga el mismo identificador que otra clave pública. En cambio, construir una clave con la misma huella que otra es prácticamente imposible.
El uso de la huella facilita la comprobación de la autenticidad de la clave. La alternativa sería comprobar todos los bytes uno por uno, lo cual puede ser incómodo y pesado teniendo en cuenta que actualmente se suelen utilizar claves de 1.024 bits (256 dígitos hexadecimales), o incluso de 2.048 bits.

Supongamos, por ejemplo, que un usuario A necesita certificar la clave de otro usuario B porque tiene que intercambiar con él mensajes seguros. El usuario A puede pedir a B que le mande su clave pública por correo electrónico tradicional, o bien obtenerla de un servidor de claves. Entonces A tiene que comprobar que nadie ha manipulado el mensaje de respuesta, obteniendo de B la siguiente información por un canal aparte (no por correo electrónico):
• El identificador de la clave pública de B.
• La huella de esta clave.
• El algoritmo y el número de bits de la clave (el número de bits puede ser necesario para evitar colisiones en la huella).
Métodos para comunicar la información sobre una clave pública
Un canal seguro para enviar la información anterior puede consistir, por ejemplo, en la comunicación directa “cara a cara” en una conversación telefónica. También hay quien se imprime el valor de la huella PGP en su tarjeta, o quien lo hace accesible vía finger o HTTP (pero este método no es tan seguro).