Grave vulnerabilidad en GnuPG

Hasta el momento, se ha confirmado que la vulnerabilidad afecta a las versiones 1.0.2 y posteriores de GnuPG que utilizan claves ElGamal para firma y cifrado (tipo 20). No se encuentran afectadas las claves ElGamal de sólo cifrado (tipo 16). Aunque el empleo de las citadas claves no son consideradas como una buena práctica criptográfica, el estándar OpenPGP permite su uso y GnuPG soporta la creación y manejo de las mismas. Afortunadamente no son muy utilizadas ni se crean por defecto en GnuPG, ya que -en comparación con las claves RSA o DSA- tienen importantes desventajas en cuanto a rendimiento y seguridad. En la práctica, debe ser el usuario quién fuerce la creación de las claves ElGamal, a través de opciones especiales que incluye GnuPG. La recomendación para no resultar afectado por la mencionada vulnerabilidad es no generar claves de firmado y cifrado ElGamal (tipo 20), revocar las del citado tipo que estén en uso y considerar que todo el material firmado y cifrado con ellas podría haber sido comprometido. Por su parte, GnuPG ha anunciado que las futuras versiones del programa no permitirán la creación de las referidas claves.