path: root/es/using-d-i/modules/partman-crypto.xml

<?xml version="1.0" encoding="ISO-8859-1"?>
<!-- original version: 56427 -->
<!-- Traducido por Javier Fernandez-Sanguino, julio 2006 -->
<!-- Revisado por Igor Tamara, enero 2007 -->

   <sect3 id="partman-crypto">
   <title>Configurar volúmenes cifrados</title>
<para>

&d-i; permite la configuración de particiones cifradas. Cualquier fichero que
se guarde en una partición de estas características se guardará al dispositivo
cifrado. El acceso a los datos sólo se puede conseguir una vez haya introducido
la <firstterm>clave</firstterm> utilizada para crear originalmente la partición
cifrada. Esta función es útil para proteger datos sensibles en caso
de que alguien robe su portátil o disco duro. El ladrón podrá lograr acceder al
disco duro pero los datos en el disco parecerán ser caracteres aleatorios y no
podrá acceder a los mismos  si no sabe la clave correcta.

</para><para>

Las particiones más importantes a cifrar son: la partición «home» que
es donde se guardan sus datos privados y la partición de intercambio («swap»)
ya que pueden guardarse datos sensibles en ésta durante la operación del
sistema. Por supuesto, nada impide que vd. cifre otras particiones que podrían
ser de interés. Por ejemplo <filename>/var</filename>, que es donde se guardan
los datos de los sistemas de base de datos, servidores de correo o servidores
de impresora, o <filename>/tmp</filename>, que lo utilizan algunos programas
para almacenar algunos datos temporales que pudieran ser de interés. Algunos
usuarios pueden querer incluso cifrar todo su sistema. La única excepción
es que la partición <filename>/boot</filename> debe permanecer sin 
cifrar ya que de momento no hay ninguna forma de cargar un núcleo de una
partición cifrada.

</para><note><para>

Tenga en cuenta que el rendimiento de las particiones cifradas será
peor que el de las particiones sin cifrar porque se tienen que 
descifrar o cifrar los datos en cada acceso de lectura o escritura.
El impacto en el rendimiento dependen de la velocidad de su CPU,
y del cifrado y longitud de clave escogidos.

</para></note><para>

Debe crear una nueva partición en el menú de particionado seleccionando 
espacio libre si quiere utilizar el cifrado. Otra opción es utilizar
una partición existente (p.ej. una partición normal, o un volumen lógico
LVM  o RAID). Tiene que seleccionar <guimenuitem>volumen físico
para cifrado</guimenuitem> en el menú <guimenu>Configuración de la 
partición</guimenu> en la opción <menuchoice> <guimenu>Utilizar como:</guimenu> </menuchoice>. El menú cambiará para mostrar distintas opciones
criptográficas para la partición.

</para><para>

Puede utilizar distintos métodos de cifrado en &d-i;. El
método por omisión es <firstterm>dm-crypt</firstterm> (disponible
en las últimas versiones del núcleo de Linux que pueden incluir
volúmenes LVM físicos) y la otra es 
<firstterm>loop-AES</firstterm> (más antigua y mantenida de forma
separada del árbol del núcleo de Linux). Se le recomienda la primera
opción a no ser que tenga razones importantes para no utilizarla.

<!-- TODO: link to the "Debian block device encryption guide"
     once Max writes it :-) -->

</para><para>

En primer lugar veamos las opciones disponibles cuando seleccione
como método de cifrado <userinput>Device-mapper (dm-crypt)</userinput>. Como
siempre: cuando tenga dudas utilice los valores por omisión, se han escogido
con mucho cuidado pensando en la seguridad de su sistema.

<variablelist>

<varlistentry>
<term>Cifrado: <userinput>aes</userinput></term>

<listitem><para>

Esta opción le permite seleccionar el algoritmo de cifrado
(<firstterm>cifra</firstterm>) que se utiliza para cifrar los datos
en la partición. Actualmente &d-i; ofrece soporte para los siguientes
cifrados de bloque: <firstterm>aes</firstterm>,
<firstterm>blowfish</firstterm>,
<firstterm>serpent</firstterm>, y <firstterm>twofish</firstterm>.
La discusión de la calidad de los distintos algoritmos de cifrado
queda fuera del alcance de este documento. Sin embargo, puede ayudarle
a tomar una decisión el hecho de que en el año 2000 el 
Instituto Nacional de Estándares y Tecnología Norteamericano («American
National Institute of Standards and Technology», NIST) escogió AES
como el algoritmo de cifrado estándar para proteger información
sensible en el siglo XXI.

</para></listitem>
</varlistentry>

<varlistentry>
<term>Longitud de clave: <userinput>256</userinput></term>

<listitem><para>

En este punto puede especificar la longitud de la clave de cifrado.
El cifrado es mejor cuanto mayor sea la longitud de cifrado. Pero, por otro
lado, un incremento en el tamaño de la clave de cifrado tiene un impacto
negativo en el rendimiento. En función del cifrado utilizado dispondrá
de distintos tamaños de longitud de clave.

</para></listitem>
</varlistentry>

<varlistentry>
<term>Algoritmo de VI: <userinput>cbc-essiv:sha256</userinput></term>

<listitem><para>

El algoritmo del <firstterm>Vector de Inicialización</firstterm> o
<firstterm>VI</firstterm> (IV en inglés) se utiliza en criptografía
para asegurar que la aplicación del cifrado en los mismos datos de
<firstterm>texto en claro</firstterm> con la misma clave generan
siempre un <firstterm>texto cifrado</firstterm> único. El objetivo es impedir
que un atacante pueda deducir información basándose en patrones repetidos en los
datos cifrados.

</para><para>

De las alternativas disponibles el valor por omisión
<userinput>cbc-essiv:sha256</userinput> es actualmente el menos vulnerable a
ataques conocidos. Utilice las otras alternativas sólo si tiene que asegurar
compatibilidad con algunos sistemas instalados previamente que no sean capaces
de utilizar los nuevos algoritmos.

</para></listitem>
</varlistentry>

<varlistentry>
<term>Clave de cifrado: <userinput>Frase de contraseña</userinput></term>

<listitem><para>

Aquí puede introducir el tipo de clave de cifrado para esta partición.

 <variablelist>
 <varlistentry>
 <term>Frase de contraseña</term>
 <listitem><para>

La clave de cifrado se computará<footnote>
<para>

La utilización de una contraseña como clave significa que la partición
se configurará utilizando <ulink url="&url-luks;">LUKS</ulink>.

</para></footnote> basándose en la contraseña que podrá introducir
en el proceso más adelante.

 </para></listitem>
 </varlistentry>

 <varlistentry>
 <term>Clave aleatoria</term>
 <listitem><para>

Se generará una nueva clave de cifrado con valores aleatorios cada vez que se
arranque la partición cifrada. En otras palabras: cada vez que se reinicie el
sistema el contenido de la partición se perderá al borrarse la clave de la
memoria. Por supuesto, podría intentar adivinar la contraseña a través de un
ataque de fuerza bruta pero, a no ser que haya una debilidad desconocida en el
algoritmo de cifrado, no es algo realizable en un tiempo razonable.

 </para><para>

Las claves aleatorias son útiles para las particiones de intercambio
porque no es deseable acordarse de una frase de contraseña ni 
es recomendable borrar la información sensible de dicha partición antes de 
apagar su sistema. Sin embargo esto también significa que 
<emphasis>no</emphasis> podrá utilizar la funcionalidad
<quote>suspend-to-disk</quote> (suspensión a disco, N. del T.)
ofrecida por los nuevos núcleos ya que será imposible (en el rearranque
posterior del sistema) recuperar los datos de la suspensión del sistema
guardados en la partición de intercambio.

 </para></listitem>
 </varlistentry>
 </variablelist>

</para></listitem>
</varlistentry>

<varlistentry>
<term>Borrar los datos: <userinput>sí</userinput></term>

<listitem><para>

Indica si debería borrarse el contenido de la partición con datos
aleatorios antes de configurar el cifrado. Se recomienda hacer esto
porque en caso contrario un posible atacante podría determinar qué partes de
la partición se están utilizando y cuáles no. Además, esto hará más 
difícil la recuperación de datos que permanecieran en la partición 
asociados a instalaciones previas<footnote><para>

Se cree, sin embargo, que las personas que trabajan en agencias gubernamentales
de «tres letras» (FBI, NSA, CIA, N. del T.) pueden recuperar los
datos aunque se hayan realizado varias escrituras en medios 
magneto-ópticos.

</para></footnote>.

</para></listitem>
</varlistentry>

</variablelist>

</para><para>

El menú cambiará si selecciona <menuchoice> <guimenu>Método de
cifrado:</guimenu> <guimenuitem>Loopback (loop-AES)</guimenuitem> </menuchoice>
y se presentarán las siguientes opciones:


<variablelist>
<varlistentry>
<term>Cifrado: <userinput>AES256</userinput></term>

<listitem><para>

En el caso de loop-AES, y a diferencia de dm-crypt, están combinadas
las opciones de cifrado y tamaño de clave de forma que puede
seleccionar ambas al mismo tiempo. Consulte la información previa
sobre cifrados y longitudes de clave para más información.

</para></listitem>
</varlistentry>

<varlistentry>
<term>Clave de cifrado: <userinput>Fichero de clave (GnuPG)</userinput></term>

<listitem><para>

Aquí puede seleccionar el tipo de clave de cifrado para esta partición.

 <variablelist>
 <varlistentry>
 <term>Fichero de clave (GnuPG)</term>
 <listitem><para>

La clave de cifrado se generará basándose en datos aleatorios durante
la instalación. Sin embargo, esta clave se cifrará con 
<application>GnuPG</application> por lo que, para poder utilizarla,
se le preguntará una contraseña (que se le solicitará durante el proceso).

 </para></listitem>
 </varlistentry>

 <varlistentry>
 <term>Clave aleatoria</term>
 <listitem><para>

Consulte la sección precedente si desea más información de las claves
aleatorias.

 </para></listitem>
 </varlistentry>
 </variablelist>

</para></listitem>
</varlistentry>

<varlistentry>
<term>Borrar datos: <userinput>sí</userinput></term>

<listitem><para>

Consulte la sección precedente si desea más información del borrado
de datos.

</para></listitem>
</varlistentry>

</variablelist>

</para><para>

Una vez ha seleccionado los parámetros para su partición cifrada debe volver al
menú de particionado principal. Aquí debería encontrar un nuevo elemento del
menú llamado <guimenu>Configurar los volúmenes cifrados</guimenu>. Una vez lo
seleccione se le pedirá confirmación para borrar los datos de las particiones
marcadas para ser borradas así como otras opciones como, por ejemplo, la
escritura de la tabla de particiones en disco.  Estas tareas tardarán un tiempo
si está trabajando con particiones grandes.

</para><para>

A continuación se le pedirá que introduzca una frase de contraseña
para las particiones que haya configurado para que la utilicen.
Una buena frase de contraseña tendrá más de ocho caracteres, será una
mezcla de letras, números y otros caracteres que no se pueden encontrar en
palabras comunes del diccionario y que no estén relacionadas con información
que pueda asociarse a vd. con facilidad (como son fecha de nacimiento,
aficiones, nombre de mascotas, nombres de miembros de la familia, etc.).

</para><warning><para>

Antes de introducir cualquier frase de contraseña debería asegurarse de que su
teclado está configurado adecuadamente y genera los caracteres que vd. supone.
Si no está seguro debería cambiar a la segunda consola virtual y escribir algún
texto en el indicador. Esto asegura que no vaya a sorprenderse más adelante,
por ejemplo, si introduce su frase de contraseña en un teclado configurado como
QWERTY cuando en realidad ha utilizado una configuración de teclado AZERTY 
durante la instalación. Esta situación puede provocarse por varias situaciones:
quizás cambio de configuración de teclado durante la instalación, o la
configuración de teclado que ha elegido no está disponible cuando vaya a
introducir la frase de contraseña para el sistema de ficheros raíz.

</para></warning><para>

Si ha seleccionado para generar las claves de cifrado métodos distintos de la
frase de contraseña se generarán ahora. El proceso puede tomar mucho tiempo
dado que el núcleo puede no haber sido capaz de obtener suficiente información
de entropía en este punto de la instalación. Puede ayudar a acelerar este
proceso si genera entropía, por ejemplo: si pulsa teclas al azar o si cambia a
la segunda consola virtual y genera tráfico de red o de disco (como pueda ser
una descarga de algunos ficheros o enviar ficheros muy grandes a 
<filename>/dev/null</filename>, etc.).

<!-- TODO: Mention hardware random generators when we will support
     them -->

Este paso se repetirá para cada partición a cifrar.

</para><para>

Verá todos los volúmenes cifrados como particiones adicionales que
puede configurar igual que las particiones normales una vez vuelva
al menú de particionado principal. El siguiente ejemplo muestra
dos volúmenes distintos. El primero está cifrado con dm-crypt y
el segundo con loop-AES.

<informalexample><screen>
Volumen cifrado (<replaceable>sda2_crypt0</replaceable>) - 115.1 GB Linux device-mapper
     #1 115.1 GB  F ext3

Loopback (<replaceable>loop0</replaceable>) - 515.2 MB AES256 keyfile
     #1 515.2 MB  F ext3
</screen></informalexample>

Ahora es cuando puede asignar los puntos de montaje a los volúmenes
y cambiar, opcionalmente, los tipos de sistema de ficheros si los valores
por omisión no se ajustan a sus necesidades.

</para><para>

Cabe destacar aquí la asociación entre los identificadores entre paréntesis
(<replaceable>sda2_crypt0</replaceable> y <replaceable>loop0</replaceable> en este
caso) y los puntos de montaje asignados a cada volumen cifrado. Necesitará
conocer esta información más adelante cuando vaya a arrancar el sistema. Podrá
encontrar más información sobre las diferencias entre el proceso de arranque
normal y el proceso de arranque con volúmenes cifrados en 
<xref linkend="mount-encrypted-volumes"/>.

</para><para>

Continúe con la instalación cuando esté satisfecho con el esquema
de particionado.

</para>
   </sect3>