Un fallo de seguridad permite acceso al correo electrónico cifrado con PGP

Un nuevo sobresalto en materia de seguridad y privacidad sacude a la Red y en esta ocasión le ha tocado el turno a uno de los estándares de cifrado más populares y considerado como de los más seguros: el PGP. Un grupo de expertos ha publicado el hallazgo a las ocho de la mañana de este lunes. Los emails cifrados mediante PGP y S/MIME han dejado de ser seguros. Siendo rigurosos, se ha encontrado una grave vulnerabilidad en el cifrado de estos estándares que permitiría convertir el contenido de dichos correos en texto plano y por lo tanto, accesibles para cualquier usuario.

Las malas noticias no llegan solas y Sebastian Schinzel, el autor del hallazgo, ha confirmado que, por el momento, no hay solución posible y por si esto fuera poco, los hackers podrían descifrar también las comunicaciones que tuvieron lugar en el pasado. La gravedad y alcance del problema han sido confirmados por la Electronic Frontier Foundation (EFF).

¿Qué es el PGP y por qué es grave este descubrimiento?

PGP es un conocido estándar de cifrado que se añade a determinados clientes de correo electrónico como una capa adicional que lograría -en teoría- que los mensajes fueran completamente inaccesibles salvo para remitente y destinatario. Como apuntamos, el cifrado se lleva a cabo por lo general mediante extensiones que ahora se recomienda encarecidamente que se desinstalen.

Los autores del hallazgo han bautizado el problema como EFAIL (un expresivo juego de palabras) y explican detalladamente el funcionamiento del potencial hack. Un atacante se aprovecharía de una debilidad del sistema que permitiría convertir un correo electrónico en texto plano y lógicamente, leer todo el contenido. El pirata informático debería acceder en primer lugar a los emails cifrados (bastaría con hackear alguno de los ordenadores o el propio servidor); en ese momento y en poder de algún correo cifrado, el atacante enviaría un nuevo mail con una modificación en dicho cifrado; en ese punto, el cliente de correo del destinatario descifraría dicho mensaje descargando todo el contenido externo (fotografías y demás), dejando el texto plano al descubierto.

¿Qué puedo hacer ahora si usaba PGP? Los propios expertos proponen una serie de medidas de carácter urgente:

Desactivar las extensiones de cifrado y usar sistemas externos; es decir, copiar el contenido del correo recibido, pegarlo en una herramienta de cifrado externa, y acceder desde ahí al texto, pero nunca desde dentro del propio cliente de correo cuyo plug-in PGP debería ser desactivado.

Desactivar el HTML. EFAIL ataca directamente al HTML y contenido enriquecido de los correos (formatos, imágenes, etc.), de manera que lo mejor es desactivarlo en nuestro programa de correo y leer el email en texto plano.

Estas serían las medidas de carácter urgente que podrían adoptar por el momento los usuarios, pero para los afectados (fabricantes y reguladores de estándares), también prevén una serie de medidas que deberían llegar a medio o largo plazo. La primera de ellas consistiría en liberar parches de seguridad en las plataformas que hicieran frente a EFAIL o por lo menos, pusieran las cosas más complicadas. La segunda es más compleja, pero parece que estamos abocados a ella: crear unos nuevos estándares PGP y S/MIME que solucionen el problema y logren que su uso sea completamente seguro.