El cifrado de correo electrónico es el cifrado de los mensajes de correo electrónico para evitar que el contenido sea leído por entidades distintas de los destinatarios previstos. El cifrado de correo electrónico también puede incluir autenticación .
El correo electrónico es propenso a la divulgación de información. La mayoría de los correos electrónicos se cifran durante la transmisión, pero se almacenan en texto sin cifrar, lo que los hace legibles por terceros, como los proveedores de correo electrónico . [1] De forma predeterminada, los servicios de correo electrónico populares como Gmail y Outlook no habilitan el cifrado de un extremo a otro . [2] Por medio de algunas herramientas disponibles, personas distintas de los destinatarios designados pueden leer el contenido del correo electrónico. [3]
El cifrado de correo electrónico puede depender de la criptografía de clave pública , en la que los usuarios pueden publicar una clave pública que otros pueden utilizar para cifrar los mensajes que les envían, mientras mantienen en secreto una clave privada que pueden utilizar para descifrar dichos mensajes o para cifrar y firmar digitalmente los mensajes que reciben. enviar.
Protocolos de cifrado
Con el diseño original del protocolo de correo electrónico , la comunicación entre los servidores de correo electrónico era en texto sin formato , lo que representaba un gran riesgo de seguridad . A lo largo de los años, se han propuesto varios mecanismos para cifrar la comunicación entre servidores de correo electrónico. El cifrado puede ocurrir a nivel de transporte (también conocido como "salto a salto") o de un extremo a otro. El cifrado de la capa de transporte suele ser más fácil de configurar y utilizar; El cifrado de extremo a extremo proporciona defensas más sólidas, pero puede ser más difícil de configurar y usar.
Cifrado a nivel de transporte
Una de las extensiones de cifrado de correo electrónico más utilizadas es STARTTLS . Es una capa TLS (SSL) sobre la comunicación de texto sin formato, lo que permite a los servidores de correo electrónico actualizar su comunicación de texto sin formato a la comunicación encriptada. Suponiendo que los servidores de correo electrónico tanto en el lado del remitente como en el del destinatario admiten la comunicación encriptada, un fisgón que espía la comunicación entre los servidores de correo no puede utilizar un rastreador para ver el contenido del correo electrónico. Existen extensiones STARTTLS similares para la comunicación entre un cliente de correo electrónico y el servidor de correo electrónico (consulte IMAP4 y POP3 , como se indica en RFC 2595). Se puede usar STARTTLS independientemente de si el contenido del correo electrónico está encriptado usando otro protocolo.
El mensaje cifrado se revela y puede ser alterado por relés de correo electrónico intermedios. En otras palabras, el cifrado tiene lugar entre retransmisiones SMTP individuales , no entre el remitente y el destinatario. Esto tiene tanto buenas como malas consecuencias. Un rasgo positivo clave del cifrado de la capa de transporte es que los usuarios no necesitan hacer ni cambiar nada; el cifrado se produce automáticamente cuando envían correo electrónico. Además, dado que las organizaciones receptoras pueden descifrar el correo electrónico sin la cooperación del usuario final, las organizaciones receptoras pueden ejecutar escáneres de virus y filtros de spam antes de entregar el correo electrónico al destinatario. Sin embargo, también significa que la organización receptora y cualquier persona que ingrese al sistema de correo electrónico de esa organización (a menos que se tomen medidas adicionales) pueden leer o modificar fácilmente el correo electrónico. Si la organización receptora se considera una amenaza, entonces es necesario el cifrado de extremo a extremo.
La Electronic Frontier Foundation fomenta el uso de STARTTLS y ha lanzado la iniciativa 'STARTTLS Everywhere' para "simplificar y facilitar que todos puedan ayudar a garantizar que sus comunicaciones (por correo electrónico) no sean vulnerables a la vigilancia masiva ". [4] El soporte para STARTTLS se ha vuelto bastante común; Google informa que en Gmail, el 90% del correo electrónico entrante y el 90% del correo electrónico saliente se cifraron con STARTTLS el 24 de julio de 2018. [5]
Históricamente, la verificación obligatoria del certificado no es viable para la entrega de correo de Internet sin información adicional, porque muchos certificados no son verificables y pocos quieren que la entrega de correo electrónico falle en ese caso. [6] Como resultado, la mayoría de los correos electrónicos que se envían a través de TLS utilizan únicamente cifrado oportunista . DANE es un estándar propuesto que hace posible una transición gradual al cifrado verificado para la entrega de correo de Internet. [7] El proyecto STARTTLS Everywhere utiliza un enfoque alternativo: admiten una "lista de precarga" de servidores de correo electrónico que han prometido admitir STARTTLS, lo que puede ayudar a detectar y prevenir ataques de degradación .
Encriptado de fin a fin
En el cifrado de extremo a extremo , los datos se cifran y descifran solo en los puntos finales. En otras palabras, un correo electrónico enviado con cifrado de extremo a extremo se cifraría en la fuente, sería ilegible para los proveedores de servicios como Gmail en tránsito y luego se descifraría en su punto final. Fundamentalmente, el correo electrónico solo se descifraría para el usuario final en su computadora y permanecería en forma cifrada e ilegible en un servicio de correo electrónico como Gmail, que no tendría las claves disponibles para descifrarlo. [8] Algunos servicios de correo electrónico integran el cifrado de un extremo a otro de forma automática.
Los protocolos notables para el cifrado de correo electrónico de un extremo a otro incluyen:
OpenPGP es un estándar de cifrado de datos que permite a los usuarios finales cifrar el contenido del correo electrónico. Existen varios complementos de software y de cliente de correo electrónico que permiten a los usuarios cifrar el mensaje utilizando la clave pública del destinatario antes de enviarlo. En esencia, OpenPGP utiliza un esquema de criptografía de clave pública en el que cada dirección de correo electrónico está asociada con un par de claves pública / privada.
OpenPGP proporciona una forma para que los usuarios finales encripten el correo electrónico sin ningún apoyo del servidor y se aseguren de que solo el destinatario deseado pueda leerlo. Sin embargo, existen problemas de usabilidad con OpenPGP: requiere que los usuarios configuren pares de claves públicas / privadas y que las claves públicas estén disponibles ampliamente. Además, protege solo el contenido del correo electrónico, y no los metadatos: una parte que no es de confianza aún puede observar quién envió un correo electrónico a quién. Una desventaja general de los esquemas de cifrado de extremo a extremo, donde el servidor no tiene claves de descifrado, es que hace que la búsqueda del lado del servidor sea casi imposible, lo que afecta la usabilidad.
El contenido de un correo electrónico también se puede cifrar de un extremo a otro colocándolo en un archivo cifrado (utilizando cualquier tipo de herramienta de cifrado de archivos) y enviando ese archivo cifrado como un archivo adjunto de correo electrónico. [9]
Demostraciones
La demostración de correo electrónico firmado y cifrado a través de Internet ha demostrado que las organizaciones pueden colaborar de forma eficaz mediante el correo electrónico seguro. Se superaron las barreras anteriores para la adopción, incluido el uso de un puente PKI para proporcionar una infraestructura de clave pública escalable (PKI) y el uso de guardias de seguridad de red que verifican el contenido cifrado que entra y sale de los límites de la red corporativa para evitar que el cifrado se utilice para ocultar el malware. introducción y fuga de información.
Configurar y usar el cifrado de correo electrónico
La organización receptora debe configurar el cifrado de la capa de transporte mediante STARTTLS. Esto suele ser sencillo; Se debe obtener un certificado válido y STARTTLS se debe habilitar en el servidor de correo electrónico de la organización receptora. Para evitar ataques de degradación, las organizaciones pueden enviar su dominio a la 'Lista de políticas STARTTLS' [10]
La mayoría de los clientes de correo electrónico con todas las funciones brindan soporte nativo para el correo electrónico seguro S / MIME ( firma digital y cifrado de mensajes mediante certificados ). Otras opciones de cifrado incluyen PGP y GNU Privacy Guard (GnuPG). También hay disponible software comercial y gratuito (aplicación de escritorio, correo web y complementos). [11]
Si bien PGP puede proteger los mensajes, también puede ser difícil de usar de la manera correcta. Investigadores de la Universidad Carnegie Mellon publicaron un artículo en 1999 que mostraba que la mayoría de la gente no sabía cómo firmar y cifrar mensajes con la versión actual de PGP. [12] Ocho años más tarde, otro grupo de investigadores de Carnegie Mellon publicó un artículo de seguimiento que decía que, aunque una versión más nueva de PGP facilitó el descifrado de mensajes, la mayoría de las personas todavía luchaban con cifrar y firmar mensajes, encontrar y verificar los mensajes de otras personas. claves de cifrado públicas y compartir sus propias claves. [13]
Debido a que el cifrado puede ser difícil para los usuarios, los gerentes de seguridad y cumplimiento de empresas y agencias gubernamentales automatizan el proceso para empleados y ejecutivos mediante el uso de dispositivos y servicios de cifrado que automatizan el cifrado. En lugar de depender de la cooperación voluntaria, el cifrado automatizado, basado en políticas definidas, toma la decisión y el proceso fuera de las manos de los usuarios. Los correos electrónicos se enrutan a través de un dispositivo de puerta de enlace que se ha configurado para garantizar el cumplimiento de las políticas regulatorias y de seguridad. Los correos electrónicos que lo requieran se cifran y envían automáticamente. [14]
Si el destinatario trabaja en una organización que utiliza el mismo dispositivo de puerta de enlace de cifrado, los correos electrónicos se descifran automáticamente, lo que hace que el proceso sea transparente para el usuario. Los destinatarios que no están detrás de una puerta de enlace de cifrado deben dar un paso adicional, ya sea adquiriendo la clave pública o iniciando sesión en un portal en línea para recuperar el mensaje. [14] [15]
Proveedores de correo electrónico cifrado
Desde 2000, el número de proveedores de correo electrónico cifrado disponibles ha aumentado significativamente. [16] Los proveedores notables incluyen:
- Hushmail
- Mailfence
- ProtonMail
- Tutanota
Ver también
- Verificacion de Email
- Privacidad del correo electrónico
- Encriptado de fin a fin
- HTTPS
- Clave (criptografía)
- Proveedor de buzón de correo
- Mensajería segura
Referencias
- ^ "Cifrado de correo electrónico en tránsito" . Ayuda de Gmail . Google . Consultado el 15 de junio de 2020 .
- ^ "Habilite S / MIME alojado para mejorar la seguridad de los mensajes" . Ayuda del administrador de GSuite . Google . Consultado el 15 de junio de 2020 .
- ^ SMEmail - Un nuevo protocolo para el correo electrónico seguro en entornos móviles , Actas de la Conferencia de aplicaciones y redes de telecomunicaciones de Australia (ATNAC'08), págs. 39–44, Adelaide, Australia, diciembre de 2008.
- ^ "Anuncio de STARTTLS en todas partes: asegurar la entrega de correo electrónico Hop-to-Hop" . EFF. 2018-06-25 . Consultado el 14 de julio de 2018 .
- ^ "Cifrado de correo electrónico en tránsito" .
- ^ "Soporte Postfix TLS" . Postfix.org . Consultado el 16 de abril de 2014 .
- ^ Dukhovni; Hardaker (14 de octubre de 2015). Seguridad SMTP a través de Oportunista DANE TLS . IETF . doi : 10.17487 / RFC7672 . RFC 7672 .
- ^ "Cifrado de extremo a extremo" . Cómo geek . Consultado el 9 de abril de 2015 .
- ^ "Asegure los archivos adjuntos de correo electrónico con 7-Zip" . Tecnología de la información de Columbia College, Universidad de Columbia . Consultado el 16 de julio de 2018 .
- ^ Preguntas frecuentes de STARTTLS recuperado el 24 de julio de 2018.
- ^ Eric Geier, PCWorld. " Cómo cifrar su correo electrónico ". 25 de abril de 2012. Consultado el 28 de mayo de 2014.
- ^ Klint Finley, CONECTADO. " El Gmail renovado de Google podría llevar el cifrado a la corriente principal ". 23 de abril de 2014. Consultado el 4 de junio de 2014.
- ^ En Seguridad y usabilidad: Diseño de sistemas seguros que las personas pueden usar, eds. L. Cranor y G. Simson. O'Reilly, 2005, págs. 679-702. " Por qué Johnny no puede cifrar ".
- ^ a b Por Luis Rivera, Revista SC. " Protección de la privacidad del cliente mediante el cifrado de correo electrónico ". 11 de marzo de 2014. 18 de julio de 2014.
- ^ Por Stan Gibson, SearchHealthIT.com. " [1] ". Abril de 2010. 22 de julio de 2014.
- ^ Gorrión, Elijah; Halpin, Harry; Kaneko, Kali; Pollan, Ruben (2016). Foresti, Sara; Persiano, Giuseppe (eds.). "LEAP: una VPN de cliente de próxima generación y un proveedor de correo electrónico cifrado" . Criptología y seguridad de la red . Apuntes de conferencias en informática. Cham: Springer International Publishing: 176-191. doi : 10.1007 / 978-3-319-48965-0_11 . ISBN 978-3-319-48965-0.