¿Por qué no se puede proteger el correo electrónico de la vigilancia gubernamental?

“Si supieras lo que sé sobre el correo electrónico, es posible que tampoco lo uses,” dijo el propietario del servicio de correo electrónico seguro Lavabit cuando lo cerró recientemente. “No hay forma de hacer correos electrónicos cifrados donde el contenido está protegido,” dijo Phil Zimmermann cuando de repente cerró el servicio de correo electrónico seguro de Silent Circle. La realidad es que el correo electrónico es fundamentalmente inseguro y nunca se puede proteger de la vigilancia del gobierno de la misma manera que otras comunicaciones.

Claro, puede estar usando un cifrado diferente y “seguro” servicio de correo electrónico que aún no se ha cerrado. Pero son vulnerables a la misma presión del gobierno de EE. UU. Que Lavabit enfrentó, por eso Silent Circle cerró antes de que el gobierno lo contactara. Algunos servicios con menos principios optarán por cooperar con los gobiernos en lugar de cerrarlos. No sabemos exactamente a qué demandas se enfrentó Lavabit, ya que tienen prohibido revelar cualquier cosa que hayan experimentado como resultado de las órdenes de puerta trasera del tribunal secreto de vigilancia de EE. UU. Que permite PRISM y otros programas de vigilancia de la NSA ¿Qué es PRISM? Todo lo que necesitas saber ¿Qué es PRISM? Todo lo que necesita saber La Agencia de Seguridad Nacional de los EE. UU. Tiene acceso a los datos que está almacenando con proveedores de servicios de EE. UU. Como Google Microsoft, Yahoo y Facebook. También es probable que estén monitoreando la mayor parte del tráfico que fluye a través de ... .

Ahora, veamos por qué el correo electrónico es una mala elección para comunicaciones seguras, y cómo es un blanco fácil para espiar al gobierno.

Los metadatos no se pueden cifrar y XKEYSCORE puede interceptarlo

Un correo electrónico no es realmente una sola pieza de datos. Son múltiples datos: está el cuerpo del mensaje, la línea de asunto, el campo De, los campos Para / CC / BCC y otros metadatos que incluyen la ubicación desde la que envía el correo electrónico.

Incluso si utiliza la mejor tecnología de cifrado de correo electrónico posible, solo puede cifrar el cuerpo del mensaje del correo electrónico. Cualquier persona que esté monitoreando la conexión que está usando puede ver el asunto del correo electrónico, con quién se está comunicando y desde dónde envía el correo electrónico. Bajo el programa XKEYSCORE que esencialmente permite al gobierno de los EE. UU. Capturar la mayor parte del tráfico que fluye a través de Internet al interceptarlo en grandes enrutadores troncales y puertas de enlace, el gobierno puede crear una imagen clara de con quién se está comunicando, cuando comunicarse con ellos, desde dónde se comunican y cuáles son las líneas de asunto de sus correos electrónicos, lo que les da una idea de lo que están hablando. Pueden encontrar sospechoso el hecho de que está encriptando el contenido de sus correos electrónicos y apuntarle a una vigilancia más profunda de todo lo que hace..

El gobierno de EE. UU. Recopiló registros de correo electrónico de EE. UU. A granel hasta 2011. Según la NSA, este programa se suspendió porque no era efectivo, pero todavía están recopilando metadatos bajo XKEYSCORE, por lo que es probable que intercepten todos los metadatos de correo electrónico que puedan ponte manos a la obra. Obtendrán mucha información de usted incluso si cifra sus correos electrónicos.

Para obtener más información, lea sobre las cosas que puede aprender de un correo electrónico “encabezamiento”, o metadatos ¿Qué puede aprender de un encabezado de correo electrónico (metadatos)? ¿Qué puede aprender de un encabezado de correo electrónico (metadatos)? ¿Alguna vez recibió un correo electrónico y realmente se preguntó de dónde vino? ¿Quien lo envió? ¿Cómo podrían haber sabido quién eres? Sorprendentemente, mucha de esa información puede ser de ... .

Muchos “Seguro” Los proveedores de correo electrónico tienen las claves de cifrado para mayor comodidad

Cifrar y descifrar correos electrónicos es complicado. En teoría, usaría algo como PGP o GPG en su computadora local para descifrar correos electrónicos Cómo enviar correos electrónicos firmados y cifrados con Evolution [Linux] Cómo enviar correos electrónicos firmados y cifrados con Evolution [Linux] En el mundo tecnológico de hoy, enviar mensajes cifrados Los mensajes entre personas se han convertido en un estándar creciente. Para asegurar sus comunicaciones por correo electrónico, debe firmar y / o cifrar sus correos electrónicos. En Linux, esto es fácil ... En la práctica, la configuración puede ser complicada y confusa, incluso para usuarios más expertos en tecnología. Esto también hace que sea imposible acceder a los correos electrónicos cifrados a través de un navegador o un cliente móvil ligero.

En la práctica, muchos proveedores de correo electrónico seguro se han ocupado de esto manteniendo las claves de cifrado al final y descifrando los correos electrónicos cuando accede a ellos. Así es como funcionaba el servicio de correo electrónico seguro de Silent Circle: tenían las claves de cifrado para poder descifrar fácilmente los correos electrónicos y ofrecer una buena experiencia de usuario. En la práctica, esto significa que el gobierno podría exigir todas las claves de cifrado, o solo las que necesitaban, y descifrar todos los correos electrónicos que quisieran. Si el proveedor tiene las llaves, podría entregarlas. La única forma de cifrar y descifrar los cuerpos de correo electrónico de forma segura es con un software de escritorio complicado. Incluso todo este esfuerzo deja los metadatos expuestos.

El gobierno puede exigir puertas traseras: ver Hushmail

Hushmail, con sede en Canadá, es uno de los servicios de correo electrónico cifrado más populares y conocidos. En 2007, los tribunales canadienses obligaron a Hushmail a entregar los correos electrónicos de uno de sus usuarios. Los correos electrónicos se pasaron a los tribunales de los EE. UU. En virtud de un tratado de asistencia legal mutua entre Canadá y EE. UU..

Hushmail teóricamente no podría hacer esto. No conservaron las claves de cifrado de los usuarios en sus servidores. Recomendaron a los usuarios usar PGP o un software similar para descifrar los correos electrónicos en sus computadoras para una máxima privacidad. Sin embargo, muchas personas pensaron que esto era demasiado inconveniente, por lo que Hushmail también ofreció un applet de Java descargable ubicado en una página web que le permitía acceder a su correo electrónico. Cuando accedía a la página web, la última versión del applet de Java se descargaba en su computadora, ingresaba su clave de cifrado, y el applet descargaba y descifraba localmente su correo electrónico sin que Hushmail obtuviera acceso a su clave de cifrado..

Hushmail se vio obligado a servir una versión de Java ¿Java es inseguro y debería deshabilitarlo? ¿Java no es seguro y debe deshabilitarlo? El complemento Java de Oracle se ha vuelto cada vez menos común en la Web, pero se ha vuelto cada vez más común en las noticias. Si Java está permitiendo que más de 600,000 Macs se infecten u Oracle es ... un applet con una puerta trasera incorporada para el usuario en cuestión. El applet de Java modificado envió la clave de cifrado del usuario a Hushmail después de que se ingresó y Hushmail obtuvo acceso a los correos electrónicos del usuario, que entregaron a los tribunales..

Si utiliza un correo electrónico seguro, el proveedor puede verse obligado a adquirir su clave de cualquier manera posible. Incluso si no pudieran obtener acceso a su clave, el proveedor podría entregar sus correos electrónicos encriptados, lo que le mostraría al gobierno con quién se está comunicando, cuándo y sobre qué (a través de la línea de asunto del correo electrónico).

Los mensajes de correo electrónico se almacenan en un servidor, los mensajes instantáneos no

Incluso si el gobierno no puede obtener o interceptar la clave de cifrado, de todos modos puede descifrar sus correos electrónicos. Sus mensajes de correo electrónico cifrados se almacenan en un servidor, así es como funciona el correo electrónico. Si el gobierno exigiera estos datos, el proveedor de alojamiento tendría que entregarlos en forma cifrada. El gobierno podría intentar romper el cifrado: el nuevo hardware regularmente debilita los mecanismos de cifrado actuales, y el gobierno de los EE. UU. Puede estar almacenando tales comunicaciones cifradas con la esperanza de romperlas en el futuro.

En contraste, las comunicaciones de estilo de mensaje instantáneo son más difíciles de archivar. Un mensaje cifrado puede enviarse directamente al destinatario y no almacenarse en un servidor al que se pueda acceder en el futuro. El gobierno tendría que instalar un dispositivo de monitoreo y capturar todas las comunicaciones en tiempo real. Si no lo hicieran y no tuvieran todos los datos cifrados, no podrían obtenerlos años después, pero a menudo pueden hacerlo con el correo electrónico.

Se pueden asegurar otros tipos de comunicación

El correo electrónico simplemente no fue diseñado con el cifrado en mente. Se ha atornillado después del hecho, y se nota. Incluso los usuarios de servicios de correo electrónico seguros más cuidadosos no pueden ocultar con quién se comunican y cuándo. Si realmente desea evitar la vigilancia del gobierno, es mejor que utilice diferentes servicios de mensajería segura en lugar de confiar en el correo electrónico.

Es por eso que Silent Circle aún ofrece un servicio de mensajería seguro. 3 formas de hacer que las comunicaciones de su teléfono inteligente sean más seguras. 3 formas de hacer que las comunicaciones de su teléfono inteligente sean más seguras. ¡Privacidad total! O eso pensamos, ya que nuestras palabras e información salieron volando por el aire. No es así: primero es palabra de escuchas telefónicas sin orden judicial, luego es palabra de periódicos, abogados, aseguradoras y más pirateando su ... que confían en la seguridad de. Tampoco es la única opción: Cryptocat es otra. Cryptocat tenía una vulnerabilidad recientemente publicitada y otros servicios pueden tener sus propios problemas sobre los que escucharemos en el futuro, pero estos servicios están en el camino correcto: no son fundamentalmente inseguros por diseño de la forma en que el correo electrónico es.

Por supuesto, el correo electrónico cifrado no es necesariamente inútil. Por ejemplo, si desea asegurar comunicaciones comerciales importantes contra las escuchas, puede ser útil. Pero el correo electrónico cifrado no va a ralentizar mucho al gobierno: no es la herramienta de comunicación ideal cuando intenta hablar sin la audiencia de la NSA.

¿Estás de acuerdo con los principios detrás del cierre de Lavabit y Silent Circle? ¿Utiliza un servicio de mensajería seguro para comunicarse sin que sus conversaciones se almacenen en una base de datos masiva del gobierno? Deja un comentario y dinos qué alternativa de correo electrónico prefieres.

Créditos de imagen: detector de metales a través de Shutterstock