Es posible enviar información confidencial de forma segura en un correo electrónico o como un archivo adjunto, pero habilitar el cifrado para hacerlo puede tener problemas que podrían anular cualquier beneficio de seguridad.
Enviar un correo electrónico es como enviar una postal: todos o todos los sistemas que lo manejan pueden ver y registrar lo que se escribió. Esto no es un problema obviamente si los contenidos no son nada de interés o importancia. Sin embargo, supone un gran problema si el contenido incluye datos sensibles, como datos bancarios, contraseñas de red o datos de clientes.
Muchas empresas optan por utilizar una puerta de enlace de correo electrónico seguraque no solo ayuda a proteger los archivos adjuntos de correo electrónico, sino que también proporciona una serie de otros beneficios de seguridad del correo electrónico, desde escanear correos electrónicos entrantes y salientes en busca de malware hasta escanear mensajes en busca de datos confidenciales y bloquear el envío del correo electrónico.
Sin embargo, debido a que muchos empleados necesitan enviar correos electrónicos con datos confidenciales, bloquearlos por completo suele ser ineficaz. Por lo tanto, si un empleado debe enviar datos confidenciales por correo electrónico, la mejor opción es utilizar cifrado.
Cómo cifrar archivos adjuntos de correo electrónico
La forma más básica de cifrado es TLS, que cifra los datos en tránsito. Los servicios de correo electrónico basados en web, como Outlook.com y Gmail, utilizan TLS para cifrar los mensajes de correo electrónico en tránsito que se envían al mismo servicio. Sin embargo, si el servidor receptor no tiene TLS habilitado, el mensaje no se cifrará y, a menudo, no aparece ninguna advertencia de que un mensaje no se cifró. Además, debido a que TLS solo cifra los datos en tránsito y no el mensaje en sí, no protege contra la interceptación y lectura de los correos electrónicos una vez entregados.
Para proteger aún más los archivos adjuntos de correo electrónico, las empresas y los usuarios deben utilizar Extensiones de correo de Internet seguras/multipropósito (S/MIME) o Pretty Good Privacy (PGP). Sin embargo, tenga en cuenta que el destinatario y la línea de asunto del correo electrónico no estarán cifrados. Las opciones son similares excepto en dos puntos: PGP utiliza una red de confianza, mientras que S/MIME depende de autoridades certificadoras para la confianza. Además, S/MIME suele ser más compatible con clientes de correo electrónico empresariales, incluidos Outlook o G Suite.
Ambas formas de cifrado requieren el uso de un par de claves pública-privada., donde la clave pública se utiliza para cifrar el correo electrónico y solo los destinatarios pueden descifrarlo utilizando su clave privada. Con PGP, el remitente debe obtener la clave pública del destinatario directamente o de un servicio descentralizado, como un servidor de claves.
Cómo se utilizan los pares de claves pública-privada en el cifrado
Con S/MIME, el proceso se simplifica un poco porque los clientes de correo electrónico o en el Active Directory de una empresa pueden almacenar los certificados (claves especialmente empaquetadas) e intercambiarlos automáticamente. El certificado S/MIME se puede intercambiar a través de un correo electrónico no cifrado para utilizarlo en correos electrónicos posteriores.
Varios proveedores de correo electrónico empresarial han agregado opciones de cifrado de correo electrónico. A menudo funcionan a través de S/MIME y requieren la compra de una identificación digital o un certificado de una autoridad certificadora, como GlobalSign o IdenTrust, antes de habilitar el cifrado de correo electrónico. Luego, el proveedor de correo electrónico puede almacenar los certificados e intercambiarlos automáticamente.
Existen algunas consideraciones especiales para proveedores de correo electrónico específicos. Para los clientes de G Suite, por ejemplo, se deben configurar reglas que regulen cómo y cuándo se produce el cifrado del correo electrónico. Gmail intentará obtener la clave pública del destinatario, pero si eso falla, es posible que el correo electrónico se envíe sin cifrar si las reglas no están configuradas correctamente. Los usuarios de Outlook pueden habilitar los certificados de cifrado S/MIME y los certificados de identificación digital manualmente, pero para un control más preciso y un cifrado automatizado, los suscriptores de Microsoft 365 pueden usar el cifrado de mensajes de Microsoft 365 para enviar correos electrónicos cifrados tanto a direcciones de Outlook como a direcciones que no sean de Outlook. Los usuarios de Outlook podrán leer el correo electrónico cifrado sin problemas, pero los usuarios que no sean de Outlook (por ejemplo, alguien con una dirección de Gmail) obtendrán un enlace de Microsoft 365 para leer el correo electrónico.
Los riesgos del cifrado de correo electrónico
El proceso de cifrar un correo electrónico puede ser complejo. Requiere que los remitentes y los destinatarios comprendan y naveguen por los pares de claves públicas y privadas y, a menudo, requiere el uso de un tercero, lo que, en PGP, implica un navegador o una extensión de cliente de correo electrónico y, para S/MIME, una autoridad de certificación.
Más allá de los posibles problemas en el manejo de claves públicas, los usuarios deben preocuparse por perder su clave privada o que se la roben. Las claves privadas se cifran con una contraseña secreta, lo que abre la puerta a todos los problemas de seguridad relacionados con prácticas deficientes en materia de contraseñas. Si una clave privada se pierde o es robada, se debe revocar, lo que hace que todos los correos electrónicos cifrados con ese par de claves sean ilegibles.
Incluso si todo se hace bien y las claves se mantienen seguras, el cifrado del correo electrónico aún deja el encabezado del correo electrónico (con la información del destinatario y la línea de asunto) sin cifrar, por lo que los datos confidenciales pueden filtrarse accidentalmente de esa manera. Y PGP y S/MIME han tenido vulnerabilidades en el pasado (como Efail) que podrían permitir a un atacante descifrar correos electrónicos usándolos.
En ciertas industrias, como la atención médica o las finanzas, donde los requisitos regulatorios lo exigen, es posible que se requiera correo electrónico cifrado para garantizar el cumplimiento. Fuera de los requisitos reglamentarios, el uso del cifrado de correo electrónico lo decide la política empresarial de cada organización.
Si no está seguro del estado del cifrado de su proveedor de correo electrónico o de la capacidad del destinatario para manejar un correo electrónico cifrado correctamente, la mejor opción puede ser utilizar un servicio de mensajería cifrado de extremo a extremo, como Signal o Wickr. – o un producto de transferencia segura de archivos para enviar datos confidenciales.