Anunciaron que Gmail tendrá 'cifrado de extremo a extremo'. Pero la definición de los expertos no coincide con la de Google

Hace unos días Google anunció la implementación de un sistema de cifrado "de extremo a extremo" para los usuarios empresariales de Gmail, generando tanto expectativas como incredulidad entre expertos en seguridad.

Esta nueva característica, presentada como una posibilidad innovadora, ha elevado un intenso debate sobre si positivamente cumple con los estándares que definen a un cierto sistema de criptográfico de extremo a extremo (E2EE).

Cómo funciona el criptográfico de extremo a extremo de Gmail

El mecanismo implementado por Google funciona de la posterior forma: cuando un heredero redacta un correo electrónico y activa la función de criptográfico, el mensaje se sigla directamente en el navegador (Chrome, Firefox u otro) ayer de ser enviado. El correo permanece encriptado en todo momento y solo se descifra una vez que llega al navegador del destinatario, luego de que éste se haya autenticado.

Para hacer esto posible, la estructura del remitente debe desplegar un servidor de claves acelerado conocido como KACL (repertorio de control de paso de claves). Este servidor, que puede alojarse localmente o en servicios en la montón, genera y almacena las claves necesarias.

Cuando se envía un mensaje criptográfico, el navegador del remitente se conecta al servidor KACL para obtener una secreto simétrica efímera. El navegador sigla el mensaje y lo envía contiguo con una secreto de narración. El navegador del destinatario utiliza esta secreto de narración para descargar la secreto simétrica del KACL y descifrar el mensaje, tras lo cual la secreto se elimina.

Para evitar que nadie pueda interceptar el mensaje maliciosamente, el destinatario debe autenticarse previamente a través del proveedor de identidad que utilice la estructura remitente (como Okta o Ping).

Para algunos expertos, el sistema de Gmail no es E2EE

Julien Duplant, delegado de producto de Google Workspace, contaba al medio Ars Technica que "la idea es que en ningún momento y de ninguna forma Gmail tenga la secreto auténtico. Nunca. Y nunca tenemos el contenido descifrado. Solo ocurre en el dispositivo del heredero".

Sin confiscación, bajo definiciones más estrictas comúnmente utilizadas en círculos orientados en privacidad y seguridad, este sistema probablemente no se regiría bajo el concepto puro que se tiene de un sistema de criptográfico de extremo a extremo. Para los puristas, E2EE significa que solo el remitente y el destinatario tienen los medios necesarios para acelerar y descifrar el mensaje.

En el caso de Gmail, tal y como la compañía dice que está implementado el sistema, las personas interiormente de la estructura del remitente que gestionan el KACL tienen la custodia auténtico de la secreto. Es opinar, aunque el criptográfico y descifrado ocurren en los dispositivos de los usuarios finales, las claves son gestionadas por la estructura del remitente. De esta forma, los administradores con paso completo podrían interceptar las comunicaciones en cualquier momento.

Más allá del debate técnico, la forma en que Google ha implementado este sistema ha generado incluso otro tipo de críticas. Y es que tal y como cuenta Michał Sapka, versado ingeniero de software, en su blog, cuando un heredero de Gmail envía un correo "criptográfico de extremo a extremo", el destinatario recibe un enlace y debe utilizar una lectura "minimal" de Gmail para poder leerlo, incluso si nunca ha tenido una cuenta de Google.

Esta valentía ha sido interpretada por algunos como un "movimiento de poder" por parte de Google, ya que obliga a los destinatarios a utilizar un servicio de Google, una idea no muy admisiblemente recibida para aquellos que quieren desprenderse de los servicios de la compañía en todo momento.

Como indica la propia documentación de Google: "Los equipos de TI incluso tienen la opción de exigir que todos los destinatarios externos (incluso si son usuarios de Gmail) utilicen la lectura restringida de Gmail. Esto ayuda a respaldar que los datos de su estructura no terminen almacenados en servidores y dispositivos de terceros. Además facilita a las organizaciones proteger sus datos al tener la capacidad de aplicar políticas de seguridad y revocar el paso a los correos electrónicos, sin importar cuánto tiempo hace que se enviaron. Esencialmente, el correo electrónico E2EE se convierte en un documento en Google Drive, permitiendo al equipo de TI controlar su paso."

Esta nueva característica tiene un valía añadido para organizaciones que deben cumplir con estrictas regulaciones que exigen criptográfico de extremo a extremo, eliminando las complicaciones asociadas con sistemas tradicionales como S/MIME. Sin confiscación, las dudas que ha sembrado el funcionamiento de este sistema hacen que muchos opinen que esta posibilidad no es adecuada para consumidores o cualquier persona que desee tener control exclusivo sobre los mensajes que envía.

Para muchos, este sistema convierte a Google en el cierto propietario del mensaje enviado, limitando la capacidad del destinatario para estudiar, apañarse o manipular estos correos en sus propios términos, transformando su correo electrónico en un simple canal de notificaciones.

Imagen de portada | Foto de Justin Morgan en Unsplash

En Genbeta | La nueva app miDNI permite aguantar el DNI en el móvil. Esto sabemos sobre la seguridad que ofrece