E-MAIL EN PELIGRO

 Ataques todavía más sofisticados amenazan con hundir esta vital herramienta de negocio. ¿Puede alguien lanzar un salvavidas? Por Avi Baumstein

 

 

El correo electrónico tal como se le conoce está pasando por duros momentos. Cargas de spam cada vez más grandes -se estima que constituyen el 98% de todo el e-mail- anegan los mensajes que los usuarios comerciales necesitan ver. Ataques de phishing muy bien atinados son noticia y mantienen nerviosos a clientes y empleados. Y por lo que respecta a los departamentos IT, abstenerse de enviar por Internet datos sensibles sin encriptar significa no considerar los valiosos usos comerciales del correo electrónico.

¿Hay esperanza? Los proveedores hablan acerca de sus tendencias: seguridad para el e-mail en la “nube” (obviamente preferencia que encabeza Google), uso de firmas criptográficas para frustrar el phishing, avances en encripción y gestión de claves, y una mezcla de prevención de filtrado de datos con sistemas de correo.

Lo que sí es un hecho es que los días de la seguridad del e-mail a base de software están llegando a su fin. Incluso Sendmail, descendiente del original programa de transferencia de e-mail (TMA, por sus siglas en inglés), distribuido igual como software de fuente abierta que como propietario, está transformándose en un modelo de aplicaciones. El CEO de Sendmail, Don Massaro, atribuye este cambio a avances en instalación, integración y desempeño con respecto al software instalado sobre “hardware commodity” y los sistemas operativos de stock.

No es el único lugar donde se nota una evolución. Las técnicas de control de spam de la semana pasada -o incluso de ayer- no pueden mantenerse al paso de la constante y creciente sofisticación de los atacantes. Al igual que en la infraestructura de la seguridad, los proveedores de control de spam apuestan por defensas multicapas. El Spam Firewall de Barracuda Networks filtra mensajes a través de 11 capas, mientras que Sendmail emplea un “coctel antispam” donde se combinan muchas pruebas individuales que dan a los mensajes una puntuación de “spaminidad”, dice Greg Olsen, director de manejo de productos de la empresa.

En el pasado, una significativa porción del arsenal anti-spam consistía en listas negras y grises, pero la eficacia de esas tácticas ha decrecido, lo que ha obligado a los fabricantes a añadir nuevas modalidades. El sustituir o al menos aumentar las listas negras es el concepto que goza de más reputación. Utilizando su vasto alcance en la corriente de correos que corren por Internet, las empresas de seguridad IT rastrean las direcciones IP que envían e-mails. Aquellas direcciones que, según se sabe, envían grandes cantidades de correo válido no requieren ser examinadas tan completamente, pero un nódulo que de repente empiece a escupir millones de mensajes justifica las suspicacias. A diferencia de los sistemas más antiguos, que usaban listas grises para simplemente demorar la entrega de todo el e-mail con la esperanza de que el spammer no se molestara en reenviar, los sistemas de hoy demoran selectivamente el correo de aquellos nódulos que se sospecha que envían spam, o bien estrangulan el ancho de banda disponible a aquellos de quienes no se está seguro, hasta que se toma una decisión.

Una vez que se ha aceptado una conexión, se escanea cada mensaje. Muchas organizaciones llevan a cabo un extenso análisis, aunque no tratan de interpretar el significado del mensaje, como ocurría en el pasado. Mientras los proveedores se muestran renuentes a compartir conceptos específicos, todos escrutan miles de atributos en un mensaje y los cotejan contra los que se encuentran en millones de otros mensajes para identificar elementos comunes de spam.

 

LA DEFENSA DE LA “NUBE”. La seguridad del e-mail como servicio se está convirtiendo en una opción cada vez más popular. La reciente reposición del servicio Postini, de Google, con planes y precios más simplificados, es un ejemplo de esta tendencia. El proceso enteramente online de Postini significa que el área IT puede firmar y configurar DNS para enrutar el e-mail a través del servicio Postini y quedar protegido en 15 minutos.

Pero la facilidad de implementación y eliminación del hardware físico no son los únicos beneficios de filtrar el spam en la “nube”. Con más de 2,000 millones de mensajes que pasan a través de los servidores de Google cada día, la compañía tiene una tremenda capacidad de correlacionar los patrones de los mensajes y reaccionar rápidamente ante nuevas amenazas, como explica Adam Swidler, gerente de marketing de Postini.

Incluso las empresas que venden aplicaciones de seguridad del e-mail ofrecen beneficios del modelo de cloud computing. Barracuda, Cisco (con su IronPort) y Sendmail han incorporado características que sacan ventaja de sus grandes bases instaladas. En el caso del primero, la información acerca del flujo del correo y las características de los mensajes (no los mensajes mismos, porque esto podría poner en riesgo la confidencialidad) se envían a Barracuda Central, donde los ingenieros analizan patrones en busca de nuevas formas de spam y virus que los sistemas existentes no pueden alcanzar. Los siguientes 30 minutos envían actualizaciones a todas las aplicaciones, con la esperanza de atrapar brotes antes que se propaguen.

 

LA PRODUCTIVA PESCA. A medida que la gente traslada sus vidas financieras al Web, el phishing se ha vuelto cada vez más lucrativo. En su última faceta, los delincuentes electrónicos están personalizando sus ataques (táctica conocida como “spear phishing”) al enviar a un limitado grupo de individuos (por ejemplo, los empleados de una compañía) un mensaje más convincente al contener especificidades. Reciente ejemplo de esto fue una racha de correos enviados a estudiantes de varias universidades, que parecían provenientes de la dirección de la casa de estudios de cada uno de ellos.

El problema de identificar de forma confiable al verdadero remitente de un e-mail es tan complejo que muchos negocios prefieren decir a sus clientes que nunca se comunicarán con ellos mediante correo. Microsoft, por ejemplo, anunció hace varios años que no enviaría los parches por e-mail, aunque con ello está dejando fuera de la jugada una útil herramienta de negocio que ahorra tiempo y dinero.

Por fortuna, hay avances que apuntan a identificar mejor si un e-mail proviene de un remitente legítimo. En mayo de 2007, la Internet Engineering Task Force aprobó el estándar DomainKeys Identified Mail (DKIM), que inserta una firma criptográfica en el encabezado de un correo, confirmando que el mensaje es legítimo. El valor de este estándar estriba en que protege la reputación de una marca y asegura a los usuarios la fuente de un mensaje. Esto es crucial cuando se recurre a un tercero para enviar el mensaje, dado que los métodos anteriores (como SPF y Sender-ID) se basaban en autentificar la dirección IP del servidor del e-mail.

A la postre, la autentificación del remitente contribuirá también a resolver el problema del spam, una vez que los servidores de correo puedan rechazar mensajes que carezcan de una autenticación idónea o que no encajen en el contexto. Por lo general, los proveedores están muy abocados a este esfuerzo, aunque es probable que tarden años antes que la autentificación del remitente produzca un impacto significativo.

 

¡INTERCEPTADO! A cualquiera le frustra perder algunas de las ventajas del e-mail, pero la cautela es entendible. Además de las preocupaciones sobre el spam o el phishing, está la posibilidad de que datos sensibles, como los estados de cuenta, puedan ser interceptados, comprometiendo la privacidad e incluso con derivaciones de falsificación.

Los sistemas anteriores de los proveedores de e-mail, como PGP, contenían gateways que interceptaban y retenían mensajes: el gateway enviaba un breve correo al usuario y le comunicaba que podía acudir a un portal Web donde podría leer el mensaje. Pero esto era un inconveniente e impedía que el usuario archivara el mensaje para su futura referencia.

Las compañías de correo han tratado de encontrar mejores soluciones, la mayoría mediante tecnologías que envuelven un mensaje encriptado en una página HTML, incluyendo el código en JavaScript para desencriptarlo. La idea es que un cliente de correo conocedor de HTML o un usuario que accese un servicio de correo Web directamente a través de un navegador podrá desencriptar el mensaje dentro de la rutina usual del manejo del correo, pero esto requiere muchos pasos y en ocasiones no es sencillo.

La primera y gran dificultad es la distribución clave. La encripción tradicional de los e-mails se ha basado en criptografía de clave pública, donde hay un intercambio de claves antes de enviar el correo. Esto se maneja sea a través de una infraestructura PKI (en el caso de S/MIME), sea a través de servidores accesibles por clave pública (con PGP). La estructura y complejidad inherente a estos procedimientos han hecho que muchas compañías desistan de la encripción de los e-mails, en especial para comunicaciones con el exterior. La actual generación de sistemas de encripción sin clientes maneja el problema de las claves almacenando éstas en el servidor de e-mail y haciendo que el destinatario se reconecte para obtener las claves, o se registre para recibir una contraseña con que abrir el mensaje. Este procedimiento tiene una ventaja para el comercio: que el usuario se conecte de nuevo con el servidor de correo sirve para que la compañía cancele o revoque el mensaje, negando el acceso a la clave o contraseña, además de que puede rastrear el e-mail cuando se abre el mensaje.

IronPort (Cisco) y Postini (Google) no requieren siquiera que la compañía maneje la infraestructura de las claves, sino que la proveen en la “nube”. Sendmail usa un plan de encripción basado en la identidad, de Voltaje, que envía un mensaje encriptado al usuario, junto con la página Web que recoloca la porción encriptada en la aplicación Sendmail del remitente para que sea desencriptada. Luego de la autenticación, el usuario recibe una página Web encriptada mediante SSL, donde se contiene el mensaje en texto corriente.

PGP ha trabajado con Adobe en la inserción de mensajes en archivos PDF encriptados. PGP estima que hasta un 90% de los usuarios de Internet tienen la posibilidad de ver los archivos en PDF, lo que facilita el proceso para el destinatario. Queda, con todo, el difícil problema de la entrega de contraseñas, que requiere una reconexión con el servidor. Este proceder es muy adecuado para situaciones donde remitente y destinatario ya han establecido una relación e intercambiado contraseñas. Un magnífico ejemplo sería una universidad que enviara las calificaciones por correo, donde la encripción pudiera usar una contraseña existente, en lugar de generar una nueva. PGP dice que está muy enfrascada en este tipo de integración, que entregará en un futuro.

A pesar de las dificultades, las recompensas de entregar al instante información confidencial y los ahorros en costos que significa el correo electrónico frente al ordinario, deberá obligar a los proveedores a innovar, lo que probablemente resolverá las actuales limitaciones.

 

ALTO A TANTO DATO. Una vez elaborado el cómo, los sistemas de e-mail deberán decidir qué mensajes necesitarán encriptarse. En el caso de los estados de cuenta bancarios y los datos médicos, esto es sencillo. Pero la importante tendencia estaría en introducir en los sistemas de las empresas de seguridad de e-mail la funcionalidad de protección contra filtración de datos, dejando que el departamento IT establezca las reglas de encripción de los mensajes cuando el contenido lo aconseje. Al usar técnicas de protección contra la filtración de datos, las reglas pueden ser palabras clave o expresiones comunes. Algunos productos incluyen también la capacidad de imprimir una especie de huella dactilar de datos clave, de manera que el servidor de correo los reconozca y encripte o, bien, se rehúse a enviar el correo.

Desde luego, otra opción es encriptarlo todo. Por lo general, el protocolo preferido es SMTP-Transport Layer Security, que encripta toda conexión de datos entre los servidores de correo. La ventaja de este sistema es que resulta muy sencillo para los usuarios, a la par que se protegen todos los datos en tránsito.

La desventaja está en que SMTP-TLS sólo funciona con socios establecidos. Cuando la encripción es esencial hay que configurar el servidor de correo para que se rehúse a enviar a servidores que no soporten este protocolo. Otro punto en su contra es que sólo protege los correos cuando están en tránsito entre servidores de correo; los mensajes pueden ser interceptados si existen paradas intermedias que estén fuera del control de ambas partes, como sería un relay ISP.

Esto no significa, por supuesto, que SMTP-TLS no sea útil, pero al igual que con todas las opciones de seguridad del e-mail que existen, no es más que un eslabón de toda la cadena.

 

ESTIMANDO IMPACTOS

                                    BENEFICIO                                                RIESGO

OrganizaciónIT	Los sistemas de seguridad del e-mail han dado grandes pasos.El estándar DomainKeys Identified Mails es útil opción para estar preparado cuando el correo se use ampliamente	Si bien han mejorado los planes de encripción y manejo de claves, todavía es riesgoso usar el correo electrónico para comunicaciones sensibles
Organización de negocio	Las tecnologías anti-spam han mejorado, reduciendo las quejas de los usuarios y volviendo al e-mail más útil. Los nuevos productos son más fáciles de manejar que antes.	Si bien los índices de correos falsos versus verdaderos son bajos, los usuarios requieren todavía revisar las cuarentenas para cerciorarse de que los e-mails legítimos no se perderán
Competitividad del negocio	Los clientes apreciarán el poder recibir información segura vía e-mail, gracias a las nuevas tecnologías de encripción b2c	Las compañías deben guardarse de que los clientes tengan que dar demasiados pasos para leer los mensajes

No hay artículos relacionados