¿Qué es S/MIME?

La protección de la privacidad y de los datos sensibles adquiere un papel cada vez más importante en entornos digitales. Cualquier transmisión de datos no cifrada puede ser interceptada y leída por terceros no autorizados. S/MIME es un estándar para el cifrado de correos electrónicos y puede ayudar a proteger los datos e información intercambiados frente a accesos no autorizados. En el siguiente artículo mostramos cómo aplicar el estándar y qué ventajas e inconvenientes conlleva.

Fundamentos de S/MIME

S/MIME significa Secure / Multipurpose Internet Mail Extensions. Con esta tecnología es posible cifrar y firmar correos electrónicos. También se pueden aplicar ambas operaciones a un mismo mensaje. De este modo, el tráfico de correo electrónico puede protegerse frente a accesos no autorizados.

S/MIME se especificó en el RFC 2633, que constituye una extensión del RFC 1847 de 1995. Según ello, S/MIME utiliza los Content-Typs application/pkcs7-mime para el cifrado y multipart/signed para la firma de correos electrónicos. Dado que el estándar está establecido desde hace muchos años, la mayoría de los clientes de correo electrónico lo soportan.

Para cifrar o firmar correos electrónicos, S/MIME utiliza un método de cifrado asimétrico. Para ello se necesita un par de claves, que consta de una clave pública (Public Key) y una clave privada (Private Key). La clave pública puede ser consultada por cualquier persona. La clave privada, en cambio, solo debe ser conocida por el remitente. Los mensajes cifrados con la clave privada solo pueden descifrarse con la clave pública y viceversa.

Generación de las claves mediante certificados

Para generar las claves correspondientes, los usuarios necesitan un certificado. Se emplean certificados X.509, que también intervienen en la transmisión de datos cifrada mediante TLS o SSL. Los solicitantes obtienen este certificado de una autoridad de certificación (CA) oficial tras haber presentado una solicitud de firma de certificado (CSR). Esta CSR debe contener los siguientes datos, que tras su verificación por la CA se incluirán en el certificado:

• clave pública
• nombre del titular
• dirección de correo electrónico del titular
• firma del emisor del certificado

Existen certificados tanto gratuitos como de pago. Estos se pueden clasificar en 4 clases:

• Clase 1: La dirección de correo electrónico está verificada por la CA.
• Clase 2: Además de lo anterior, la CA verifica el nombre y la organización.
• Clase 3: Además de la Clase 2, la CA verifica extracto del registro mercantil y el documento de identidad (por ejemplo, DNI/NIE).
• Clase 4: El solicitante se ha verificado personalmente ante la autoridad de certificación presentando los documentos originales.

Los certificados gratuitos suelen corresponder por lo general a la Clase 1 y no son válidos por más de un año.

Uso de S/MIME

Los dos ámbitos de aplicación, cifrado y firma, difieren fundamentalmente entre sí. No obstante, ambos aumentan la seguridad y la protección de datos en las comunicaciones por correo electrónico.

Firma de correos electrónicos

Mediante la firma, el remitente acredita su identidad. Añade a sus mensajes una firma que ha generado con su clave privada. Si el destinatario conoce la clave pública asociada, puede comprobar la identidad del remitente. Mediante la firma, el destinatario puede verificar que el mensaje procede realmente del remitente indicado. Sin embargo, el propio correo electrónico permanece sin cifrar y puede consultarse libremente.

La firma de correos electrónicos un instrumento eficaz contra intentos de phishing. Aquí los delincuentes se hacen pasar por remitentes de confianza e intentan así robar datos, información o incluso dinero del destinatario.

Cifrado de correos electrónicos

Si un mensaje se cifra con una clave pública, solo puede volver a descifrarse y hacerse legible mediante la aplicación de la clave privada correspondiente. Por tanto, el remitente debería poner la clave privada a disposición del destinatario. Esto puede hacerse, por ejemplo, mediante un correo firmado. Más seguro, sin embargo, es el envío por separado, por ejemplo por fax o por correo postal.

Si un mensaje está cifrado con S/MIME, no puede ser leído por personas no autorizadas. Tampoco es posible el escaneo en busca de virus o spam mientras esté cifrado. Solo en el dispositivo final del destinatario, tras el descifrado, el correo podrá volverse legible. La cabecera de un correo electrónico, que consiste en remitente y asunto, sin embargo, permanece sin cifrar y sigue siendo legible.

Ventajas y desventajas en la aplicación de S/MIME

El estándar S/MIME es una solución eficaz para proteger la comunicación por buzones de correo electrónico frente a accesos no autorizados. De este modo, los remitentes pueden reforzar su fiabilidad ante sus destinatarios.

Consejo: Un dominio de correo propio refuerza esta confianza adicionalmente.

No obstante, en la práctica el estándar de cifrado se utiliza relativamente poco, ya que la tecnología también tiene algunos inconvenientes que hacen que su gestión sea engorrosa.

Ventajas de S/MIME

• eficaz y seguro para el cifrado y la firma de correos electrónicos
• estándar ampliamente extendido, compatible con los clientes de correo habituales de los sistemas operativos más conocidos
• protección frente a ataques de phishing

Inconvenientes de S/MIME

• validez limitada de los certificados
• remitente y destinatario deben intercambiar las claves periódicamente (tras la caducidad del certificado) por una vía segura.

Nuestro artículo se basa en experiencias e investigación propias, así como en información de fuentes externas.

Referencias & enlaces adicionales sobre el tema:
Información sobre el uso de S/MIME con Microsoft Outlook
Información sobre el uso de S/MIME con Google Mail
Información sobre el uso de S/MIME con Apple Mail

Créditos de la imagen:
Gerd Altmann en Pixabay