1

Seguridad y cifrado del Correo electrónico con Zimbra, OpenPGP y S/MIME

Jorge de la Cruzwww.jorgedelacruz.es

May 1, 2023 2

• ¿Seguridad en el correo electrónico? ¿Estamos locos?

• ¿Por qué con Zimbra Collaboration?• Firmado digital y Cifrado del correo

electrónico• Firmado digital y cifrado usando Zimbra

Collaboration y S/MIME• Cifrado usando OpenPGP

May 1, 2023 3

¿Seguridad en el correo electrónico? ¿Estamos locos?

May 1, 2023

¿Seguridad en el correo electrónico? ¿Estamos locos?

4

Referencias:http://gawker.com/how-unsafe-was-hillary-clintons-secret-staff-email-syst-1689393042http://edition.cnn.com/2015/03/27/politics/hillary-clinton-personal-email-server/http://www.theguardian.com/us-news/2015/mar/04/hillary-clinton-private-email-server-new-york-home

Considero que el mayor problema de seguridad aquí es la completa falta de información acerca de quién ha estado administrando, haciendo backup, y manteniendo el acceso al correo electrónico de la Secretaria. Si documentos clasificados han sido compartidos, ¿quién los ha podido ver?, ¿Fueron reenviados esos ficheros? ¿Hubo accesos desde múltiples dispositivos? ¿Estaba el cifrado marcado por defecto en esos dispositivos?

Kenn White, Security Research

May 1, 2023

¿Seguridad en el correo electrónico? ¿Estamos locos?

5

Referencias:http://hipertextual.com/2013/08/correo-electronico-seguro

Las revelaciones de Edward Snowden sobre PRISM y X-Keyscore han puesto de manifiesto la necesidad de mejorar la privacidad de nuestras comunicaciones al estar sometidos a tantos programas de espionaje. Repasaremos algunas ideas y alternativas que pueden mejorar la seguridad de nuestro correo electrónico y, al menos, ponérselo algo más difícil a la NSA.

May 1, 2023

¿Seguridad en el correo electrónico? ¿Estamos locos?

6

Referencias:https://en.wikipedia.org/wiki/ProtonMailhttp://techcrunch.com/2015/03/20/protonmail-seed/

ProtonMail, producto creado gracias al crowdfunding y hospedado en Suiza.Este sistema nació en 2013 creado por Andy Yen, Jason Stockman y Wei Sun, apoyado por el MIT y el propio CERN, del cual presumen contar con el apoyo de consultores en tecnologías de la información de este centro. La base de los servidores de ProtonMail es Suiza, por lo que no se sujeta a legislaciones como la estadounidense.

May 1, 2023 7

¿Por qué con Zimbra Collaboration?

May 1, 2023 8

¿Por qué con Zimbra Collaboration?

May 1, 2023 9

Firmado digital y cifrado del correo electrónico

May 1, 2023

Firma digital

10

• No debe confundirse con Firma electrónica.• No debe confundirse con Firma digitalizada.Una firma digital es un mecanismo criptográfico que permite al receptor de un mensaje firmado digitalmente determinar la entidad originadora de dicho mensaje (autenticación de origen y no repudio), y confirmar que el mensaje no ha sido alterado desde que fue firmado por el originador (integridad).1 2

La firma digital se aplica en aquellas áreas donde es importante poder verificar la autenticidad y la integridad de ciertos datos, por ejemplo documentos electrónicos o software, ya que proporciona una herramienta para detectar la falsificación y la manipulación del contenido

May 1, 2023

Cifrado del correo electrónico

11

Cuando cifras un mensaje, este se muestra "mezclado e ilegible" y solo lo puede leer la persona que tiene la llave para descifrar el mensaje. La firma digital de un mensaje asegura que el mensaje salió desde el remitente esperado. El cifrado asegura que el mensaje no ha sido leído ni modificado durante su transmisión. Para cifrar tus mensajes, puedes utilizar public-key sistemas de criptografía. En estos sistemas, cada usuario tiene dos claves separadas: una clave pública y y una clave privada. Cuando alguien quiere enviarte un mensaje cifrado, utiliza tu clave publica para generar el algoritmo de cifrado. Cuando recibes el mensaje, debes utilizar tu clave privada para descifrarlo.

May 1, 2023 12

Firmado digital y cifrado usando Zimbra Collaboration y S/MIME

May 1, 2023

Firmado digital y cifrado usando Zimbra Collaboration usando S/MIME

13

Secure/Multipurpose Internet Mail Extensions, S/MIME provee los siguientes servicios de seguridad criptográfica para aplicaciones de mensajería electrónica:• autenticación, integridad y no repudio (mediante el uso

de firma digital)• privacidad y seguridad de los datos (mediante el uso de

cifrado)S/MIME especifica el tipo application/pkcs7-mime (tipo smime "enveloped-data") para envoltura de datos (cifrado): la entidad MIME completa a ser envuelta se cifra y se empaqueta en un objeto que luego se inserta en una entidad MIME application/pkcs7-mime.La funcionalidad S/MIME está construida en la mayoría de apps de correo electrónico modernos y son capaces de interoperar entre ellos.

Certificados S/MIMEAntes de que S/MIME pueda usarse en alguna de las aplicaciones antes mencionadas, se debe obtener e instalar una clave/certificado individual tanto de la autoridad certificadora (AC) interna como de una AC pública. Una buena práctica es usar claves privadas separadas (y certificados asociados) para firma y para cifrado.

May 1, 2023 14

Cifrado usando OpenPGP

May 1, 2023

Cifrado del correo electrónico

15

May 1, 2023

Diferencias entre S/MIME y OpenPGP

16

Mandatory features

S/MIME v3 OpenPGP

Message format Binary, based on CMSBinary, based on previous PGP

Certificate format Binary, based on X.509v3Binary, based on previous PGP

Symmetric encryption algorithm

TripleDES (DES EDE3 CBC)TripleDES (DES EDE3 Eccentric CFB)

Signature algorithmDiffie-Hellman (X9.42) with DSS or RSA

ElGamal with DSS

Hash algorithm SHA-1 SHA-1MIME encapsulation of signed data

Choice of multipart/signed or CMS format

multipart/signed with ASCII armor

MIME encapsulation of encrypted data

application/pkcs7-mime multipart/encrypted

May 1, 2023 17

May 1, 2023 18

©2013 Zimbra Systems, Inc. All rights reserved. Telligent and its symbol are registered trademarks or trademarks of Zimbra, Inc. Other company and product names mentioned herein are property of their respective owners. The contents of this publication are subject to change without notification and are the property of and cannot be reproduced without the written permission of Zimbra. The contents of this publication are not a commitment by Zimbra to provide the features and benefits described.

Zimbra3000 Internet Blvd., Suite 200 Frisco, TX 75034 USA Main: +1 972-407-0688 Main US toll-free: 877-492-9484 Sales: +1 972-407-0688 www.zimbra.com