Muchas son las ocasiones en las que hemos visto, de una forma u otra, como literalmente internet no es seguro. En este punto, lo cierto es que si empresas y multinacionales de todo el mundo, mismas en las que han confiado muchos usuarios han visto como los ciberdelincuentes han conseguido acceder a sus servidores y robar las contraseñas y datos personales de millones de sus usuarios, imagina que se puede hacer con aplicaciones mucho más pequeñas donde, en muchas ocasiones, la seguridad pasa a un segundo plano.
Lejos de todo esto, lo cierto es que, y esto si que es mucho más preocupante, hay muchos protocolos de seguridad, que hasta ahora parecían muy seguros, que están comenzando a fallar. En esta ocasión no vamos a hablar de un correo electrónico o una empresa con nombre y apellidos que te ofrece una cuenta de correo electrónico seguro, sino precisamente de los protocolos que hacen estas plataformas seguras, mismos que, según un grupo de investigadores, podría llegar a exponer todos tus correos a cualquier persona con conocimientos suficientes.
Índice
PGP, el protocolo de cifrado estándar para email, tiene una vulnerabilidad crítica
Entrando un poco más en detalle, comentarte que hablamos de los protocolos de seguridad que a día de hoy se utilizaban por muchas empresas para cifrar y así ofrecer a sus clientes un servicio de correo electrónico mucho más seguro. Concretamente hablamos de los algoritmos de cifrado PGP o S/MIME, mismo que, según ha sido descubierto, sufre de una grave vulnerabilidad por la cual se puede llegar a exponer todos los correos cifrados en texto plano, incluso todos esos mensajes que pudiste enviar en el pasado.
De una forma mucho más sencilla de entender y remitiéndonos a las palabras de Sebastian Schinzel, uno de los especialistas en seguridad que han estado trabajando en este proyecto y, a su vez, profesor de seguridad informática en la Universidad de Ciencias Aplicadas de Münster:
El email y ano es un medio de comunicación seguro
Electronica Frotier Fundation ha sido la responsables de sacar a la luz este fallo crítico en el protocolo PGP
Para que nos hagamos una idea del riesgo, comentarte que esta vulnerabilidad fue detectada por primera vez por la Electronic Frontier Foundation justamente el lunes a primera hora de la mañana justo después de que un diario alemán de gran tirada rompiera un embargo informativo. Una vez toda esta información se hizo pública, el grupo de investigadores europeos involucrados en este descubrimiento literalmente ha comenzado a anunciar que la gente debe dejar de utilizar los algoritmos de cifrado PGP por completo ya que, a día de hoy, no hay soluciones fiables contra la vulnerabilidad detectada.
Según han declarado los investigadores:
Los ataques EFAIL explotan vulnerabilidades en los estándares OpenPGP y S/MIME para revelar en texto plano los correos electrónicos cifrados. En pocas palabras, EFAIL abusa del contenido activo en el email HTML, como por ejemplo imágenes o estilos cargados externamente, para filtrar el texto sin formato a través de las URL solicitadas. Para crear estos canales de exfiltración, el atacante primero necesita tener acceso a los correos electrónicos cifrados, por ejemplo interceptando el tráfico de la red, comprometiendo cuentas de correo electrónico, servidores de correo electrónico, sistemas de respaldo o computadoras cliente. Los correos electrónicos incluso podrían haber sido recopilados hace años.
El atacante cambia un correo cifrado de una manera determinada y envía este correo cifrado manipulado a la víctima. El cliente de correo electrónico de la víctima descifra el correo y carga cualquier contenido externo, lo que exfiltra el texto sin formato al atacante.
Muchos son los expertos en seguridad que piensan que esta vulnerabilidad ha sido sobreestimada
Para conocer un poco más sobre PGP, comentarte que no es otra cosa que un software de encriptación que, al menos hasta ahora, ha sido considerado como el estándar para la seguridad del correo electrónico. Este tipo de correo electrónico cifrado, para muchos a día de hoy algo indispensable para sus comunicaciones, comenzó a preocupar a muchas empresas a partir de todos esos informes donde se anunciaba la enorme vigilancia electrónica que estaba siendo llevada a cabo por el gobierno de Estados Unidos.
Dentro de la peligrosidad que puede suponer este hallazgo, lo cierto es que son muchos los expertos que apuestan por que la vulnerabilidad ha sido sobreestimada y todo el mundo está reaccionando a este anuncio de forma exagerada. Un ejemplo de esto lo tenemos en las palabras de Werner Koch, autor principal de GNU Privacy Guard que literalmente comenta que la forma de mitigar este problema pasa literalmente por dejar de utilizar el correo HTML y usar un cifrado autenticado.
Sé el primero en comentar