Lista gris: funcionamiento y ventajas para un correo electrónico más seguro

El greylisting o lista gris es una técnica muy efectiva para luchar contra el envío de correos electrónicos basura o spam. La lista gris trabaja en el servidor de correo electrónico del destinatario y no requiere configuración alguna por parte del emisor ni del destinatario.

¿Dónde se utiliza el greylisting?

A diferencia de los filtros de spam, el greylisting tiene como objetivo impedir que los correos spam lleguen a entregarse. Puesto que se basa en un proceso sencillo, es eficiente en recursos y se adapta perfectamente a arquitecturas de seguridad modernas como Zero Trust o Defense in Depth.

Las listas grises se usan sobre todo para combatir el envío ilegítimo y masivo de correos de spam. Más concretamente, tratan de evitar el envío de lo que en inglés se denomina UBE (Unsolicited Bulk Email): correos electrónicos enviados en masa, sin ningún tipo de personalización. Para enviar este tipo de spam suelen usarse listas compradas o robadas de direcciones de correo electrónico.

Por lo general, el envío se produce desde ordenadores infectados, cuyos usuarios no se percatan de lo que está sucediendo: sus ordenadores están conectados a una llamada botnet, es decir, una red de ordenadores controlados de forma remota y que se utilizan para enviar correos de spam en masa. Estas oleadas de correos basura suelen enviarse desde direcciones falsificadas mediante spoofing, es decir, direcciones emisoras que no existen realmente.

Sin embargo, el greylisting no es un método adecuado para combatir el llamado UCE (Unsolicited Commercial E-Mail). Este tipo de correos electrónicos suelen enviarse uno a uno por parte de empresas o comerciales reales y suelen estar personalizados. Para combatir este tipo de spam suelen usarse filtros de contenido y la técnica del blacklisting (aplicación de listas negras).

¿Cómo funciona el greylisting?

La idea de las listas grises se basa en bloquear posibles correos de spam antes de que lleguen a su destino. Veamos cómo funciona exactamente el proceso de envío de correos electrónicos.

¿Cómo se transmite el correo electrónico?

Para enviar un correo electrónico se utiliza el Simple Mail Transfer Protocol (SMTP). En principio, todo correo electrónico enviado a través de Internet recorre el siguiente camino:

1. El emisor redacta un correo electrónico usando su MUA (Mail User Agent). Este agente puede ser un programa de correo instalado de forma local o una interfaz de webmail.
2. Para enviar el correo, el Mail User Agent establece una conexión SMTP con el Mail Transfer Agent (MTA) del emisor. El MTA es un software ubicado en el servidor SMTP que recoge y envía los correos electrónicos.
3. El Mail Transfer Agent del emisor transmite el mensaje al Mail Transfer Agent del destinatario. Si este último acepta el correo, este llegará a la bandeja de entrada del usuario receptor.
4. Si dicho usuario ha sincronizado su bandeja de entrada local mediante el protocolo IMAP o POP3, el correo se mostrará como un nuevo mensaje.

Punto de intervención de la lista gris

La lista gris actúa en el tercer paso: cuando el Mail Transfer Agent del receptor acepta el correo. Este agente receptor puede reconocer tres datos antes de aceptar el correo entero:

• La dirección IP del servidor de correo emisor
• La dirección de correo electrónico del emisor, gracias al comando de SMTP MAIL FROM
• La dirección o direcciones de correo a las que se ha enviado, gracias al comando de SMTP RCPT TO

Puesto que estos datos ya son visibles para el Mail Transfer Agent antes de que el correo en sí haya sido recibido o abierto, a veces son llamados datos de sobre. El Mail Transfer Agent anota los datos de sobre de cada correo entrante en la llamada lista gris. A continuación, mostramos un ejemplo de entrada en esta lista:

Primer y segundo intento de entrega

Cada vez que se recibe un correo con una combinación nueva de estos datos de sobre, el Mail Transfer Agent lo rechaza y devuelve un código de error indicando un problema técnico. De esta forma, se solicita al Mail Transfer Agent del emisor que vuelva a intentar realizar el envío pasado cierto tiempo.

Si el Mail Transfer Agent emisor es legítimo y se ajusta a los estándares de correo electrónico, obedecerá y reintentará el envío más tarde. En el segundo intento, los datos de sobre ya estarán registrados en la lista gris y el correo podrá ser entregado al usuario.

En cambio, si el correo ha sido enviado de forma ilegítima, el Mail Transfer Agent correspondiente por lo general no lo volverá a intentar. Esta es la característica que aprovecha la lista gris para cumplir su función: puesto que no se produce ningún segundo intento, los correos spam no llegan a entregarse. El usuario que acaba de ser protegido, por su parte, no se percata de nada. Se trata, por lo tanto, de una manera muy elegante de evitar los molestos correos basura.

Así funciona una lista gris en detalle

Close

(a) El Mail User Agent (MUA) transmite un correo electrónico al servidor de correo del emisor (P).

(b) Dicho servidor (P) retransmite el correo al servidor del receptor (Q), que se encarga de comprobar los datos de sobre del mensaje: la dirección IP del servidor remitente, así como las direcciones de correo electrónico involucradas. Si la combinación de estos tres datos aún no ha sido registrada en la lista del servidor receptor (Q), el intento de entrega del correo será rechazado, indicando como motivo un fallo técnico. El servidor del receptor (Q), sin embargo, registrará los datos de sobre y lo incluirá en la lista gris.

(c) Si se trata de un correo legítimo, el servidor del emisor (P) volverá a intentar enviarlo pasado cierto tiempo de espera. Puesto que, en este segundo intento, los datos de sobre ya serán reconocidos por el servidor del receptor (Q), el correo será entregado. De forma opcional, los datos de sobre pueden ser entonces incorporados a la lista blanca o whitelist del servidor de correo del receptor. Si esto ocurre, los futuros correos con los mismos datos de sobre se entregarán sin retraso.

(d) Por el contrario, si se trata de un correo enviado de forma ilegítima, por lo general no se producirá un segundo intento de envío. En este caso, por lo tanto, la lista gris habrá cumplido su función de protección frente al spam y el correo no llegará a la bandeja de entrada.

La lista gris como parte de una protección integral contra el spam

Las listas grises suelen usarse en combinación con otras tecnologías de protección frente al spam. El Convenio de Remitentes o, en inglés, Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) así como el protocolo DMARC (Domain-based Message Authentication, Reporting and Conformance) son otros sistemas efectivos para proteger el tráfico de correos electrónicos frente a las formas más habituales de abuso.

Combinación de las listas grises con otros métodos

En particular, las listas grises funcionan especialmente bien si se combinan con otras técnicas emparentadas: las listas blancas y negras, es decir, con los métodos de whitelisting y blacklisting. A continuación, presentamos también un ejemplo del recorrido de los intentos de envío a los servidores receptores cuando están presentes estos mecanismos.

Close

En la imagen aparece una lista de intentos de entrega de correos, numerados de e1 a e5 en orden temporal.

e1) Entra un correo de un emisor que aún no está registrado en la lista gris (“¿En lista? No.”). El Mail Transfer Agent receptor rechaza la entrega del correo indicando como causa un error técnico. Los datos de sobre se registran en la lista gris.

e2) Más tarde, llega otro correo del mismo emisor al mismo receptor. Puesto que los datos de sobre esta vez sí están registrados en la lista gris, el correo se entrega. Además, los datos de sobre se incorporan a la lista blanca.

e3) La dirección IP del servidor SMTP de Anna ha cambiado desde el último intercambio de mensajes entre ella y Marco: la última vez era 192.0.2.3, mientras que ahora es 192.0.2.34. Por lo tanto, Anna es identificada como remitente desconocido y registrada, en un primer momento, en la lista gris.

e4) Más tarde, Anna vuelve a escribir a Marco. Esta vez, sin embargo, lo hace desde el servidor SMTP con la primera dirección IP, 192.0.2.3. Puesto que estos datos ya estaban previamente en la lista blanca, el correo de Anna se entrega inmediatamente.

e5) El servidor 192.0.2.66 está intentando entregar un correo. Puesto que se trata de un servidor ya identificado como malicioso en la lista negra, la entrega del correo es rechazada. La dirección emisora anna@ejemplo.com parece haber sido falsificada mediante spoofing.

Ventajas e inconvenientes del greylisting

¿Qué complicaciones puede ocasionar una lista gris?

Si bien las ventajas de una lista gris son muy atractivas, esta técnica también trae consigo ciertos problemas:

• La dirección IP del servidor SMTP emisor debe mantenerse constante. Si esta dirección cambia, el correo entrante será identificado como desconocido por el servidor SMTP del receptor y el correo pasará primero por un proceso de greylisting.
• En ciertos casos falla la entrega debido a errores en la implementación o en la configuración del servidor emisor. Si el Mail Transfer Agent del emisor, por algún motivo, no trata de enviar el correo por segunda vez, no se producirá la entrega.
• Los spammers podrían eludir el mecanismo de protección si disponen de recursos suficientes. En teoría, también quienes envían correos basura pueden realizar los envíos varias veces para superar la lista gris. Sin embargo, hacerlo supone un esfuerzo logístico tan grande que no suele valer la pena.
• El retraso en la entrega puede hacer que caduquen ciertos elementos de los correos. Este problema es habitual cuando se trata de recuperar una contraseña: el correo de recuperación es enviado por un emisor aún desconocido y, por lo tanto, ha de superar en primer lugar el mecanismo de la lista gris. Una vez el emisor ha logrado enviar el correo por segunda vez, puede haber transcurrido tanto tiempo que el enlace de recuperación o el código para iniciar sesión ya hayan caducado.
• En las soluciones modernas en la nube, la lista gris a menudo está integrada por defecto, sin que los administradores o usuarios puedan acceder directamente a ella. Por lo tanto, puede ocurrir que ocasionalmente los correos electrónicos lleguen con retraso, sin que sea posible identificar de inmediato la causa.