S/MIME: firma y encripta tus correos electrónicos

Cuando enviamos un correo electrónico esperamos que el destinatario lo reciba de forma segura y sin modificaciones y que al mismo tiempo sea la primera persona que lo lea. A la inversa, cuando somos los receptores de un mensaje, confiamos en que ningún tercero haya podido acceder al contenido o lo haya manipulado. Asimismo, también esperamos que el autor del mensaje haya sido realmente el remitente y no otra persona que oculte su identidad tras este. Si realmente queremos estar seguros de que se cumplen todas estas condiciones deberemos recurrir sin alternativa a dos servicios de seguridad, la encriptación y la firma electrónica, pues sin ellos facilitamos enormemente la tarea de delinquir a los hackers, a pesar de que el sistema tenga protección antispam y un software antivirus. S/MIME, definido en 1999, es uno de los métodos estándar, con cuya ayuda es posible usar las prestaciones de seguridad antes descritas.

En la publicación RFC 1847 de 1995 se detallan dos extensiones de seguridad para el estándar de correo electrónico MIME, siglas de Multipurpose Internet Mail Extension (en español, Extensiones Multipropósito de Correo de Internet): por un lado, el formato multipart/signed para firmar mensajes y, por el otro, el formato multipart/encrypted para codificarlos. Solo 4 años más tarde el IETF (Internet Engineering Tasking Force) publicó con la extensión para MIME denominada S/MIME descrita en RFC 2633, un estándar compatible con el formato de firma antes citado.

Para la codificación, en cambio, recurre a la solución propia application/pkcs7-mime. Puedes elegir si quieres que S/MIME solo codifique o solo firme el correo o, si por el contrario, deseas aplicar ambas operaciones, disponibles para los clientes de correo electrónico más conocidos, como Microsoft Outlook, Thunderbird o Apple Mail. Una de las alternativas más conocidas que soporta multipart/signed y multipart/encrypted es OpenPGP, definida en 2007.

S/MIME se basa en la encriptación asimétrica y recurre para ello a un par de claves, estas son, una clave privada (private key) y una pública (public key). Mientras que la pública se comparte con todos los contactos de la cuenta de correo, la privada se reserva solo para el usuario y será necesaria, por un lado, para decodificar los mensajes recibidos y, por otro, junto con la clave pública del destinatario, para poder enviar emails encriptados. Con un certificado S/MIME, ofertado por diferentes proveedores, el cliente de correo electrónico puede crear e intercambiar claves.

Para que funcione el cifrado de correos electrónicos, a cada mensaje S/MIME se antepone la información del encabezado, que envía al cliente receptor las indicaciones necesarias para registrar y tratar el contenido, entre las que se incluyen el tipo de contenido (en los archivos encriptados, por ejemplo, “enveloped-data”), el nombre de archivo correspondiente (como smime.p7m para datos firmados o protegidos) o la forma del código. Un encabezado factible para un correo encriptado puede ser, por ejemplo:

La firma S/MIME puede adjuntarse al correo electrónico automáticamente cuando se está redactando, y se considera de gran utilidad por diversos motivos. En primer lugar, permite comunicar al destinatario la clave pública que asegura el proceso de comunicación entre ambos, de modo que este puede también enviar mensajes con información encriptada. Además, la firma también demuestra al destinatario que has enviado el mensaje y, al contrario que en PGP, al introducir una firma no aparecen caracteres encriptados. En caso de que el cliente de correo destinatario encuentre incongruencias al verificar la firma recibida, la legitimidad del mensaje no puede ser confirmada, lo que puede denotar una manipulación de los datos.

Como ya se ha dicho, para usar S/MIME se requiere un certificado (X.509). En principio podemos crearlo nosotros mismos, no obstante, para ello vamos a necesitar primero un certificado raíz, que en este caso debe generarse también. Además, antes de que se produzca un intercambio de información encriptada, todos los interlocutores deberán haber importado este certificado raíz. Por ello, se recomienda optar por una opción más fácil y rápida, consistente en la adquisición de un certificado en un organismo oficial de certificación, donde puede haber soluciones tanto gratuitas como de pago. Una clasificación típica divide a los certificados en tres tipos:

• Clase 1: el certificado expedido por el organismo de certificación garantiza la veracidad de la dirección de correo dada.
   
• Clase 2: el certificado garantiza la veracidad de la dirección de correo dada así como la del nombre que se le asigna. Además, siempre que tenga importancia, se confirmará también la empresa. La verificación de los datos se produce mediante bases de datos de terceros o copias de carnets de identidad.
   
• Clase 3: este tipo de certificados se diferencia del de la clase 2 en que el solicitante tiene que identificarse en persona.

Si deseas encriptar tus mensajes con S/MIME y estás buscando un certificado, es importante que no pierdas de vista su función principal, esta es, proteger la comunicación vía correo electrónico y evitar que el contenido de los mensajes sea interceptado y manipulado por terceros, motivo por el cual es esencial tener en cuenta la seriedad y el grado de confianza del proveedor que se vaya a elegir.

Uno de los servicios que ofrece un mayor grado de confianza es Sectigo, en cuyos certificados confía, según los propios datos de esta empresa, el 99 por ciento de clientes de correo electrónico. Este organismo de certificación, conocido principalmente por sus excelentes certificados SSL, ofrece certificados para uso particular (a partir de 16,99 dólares al año) o para empresas (a partir de 39,99 dólares al año) con los que es posible implementar el cifrado de extremo a extremo con S/MIME. Un socio de confianza para la generación de certificados gratuitos es el proveedor italiano de alojamiento web Actalis.

Para poder integrar estos procedimientos de seguridad en el cliente de correo utilizado, lo primero que se necesita, como es lógico, es un certificado S/MIME, por lo que la búsqueda del proveedor se convierte en el primer paso para conseguir que tus correos sean seguros y estén protegidos. A continuación, se procede a generar e instalar un certificado personificado, proceso que en la mayoría de los casos varía mínimamente de un proveedor a otro. Tras la instalación es importante configurar el programa de correo correspondiente para que haga uso de S/MIME y recurra al certificado insertado. Por norma general el proceso de instalación finaliza al reiniciar al cliente, tras lo cual se activan funciones específicas para la encriptación o firma automática o manual de los mensajes.

En los siguientes apartados te ofrecemos instrucciones detalladas para instalar S/MIME en el sistema de escritorio Windows y macOS, así como en los sistemas móviles iOS y Android. El servicio Actalis, antes nombrado, se usa de ejemplo como organismo de certificación gratuito.

Los dispositivos de Apple disponen ya, con el cliente “Mail”, de una solución instalada que desde un principio da la posibilidad de encriptar y firmar correos con S/MIME. Si posees una cuenta de correo, puedes crear directamente un certificado con Actalis sin necesidad de instalar un programa adicional. El procedimiento no se diferencia mucho del que seguimos con Windows: accede a la página web de Actalis, utiliza el formulario de generación de certificados y crea un certificado basado en tus datos personales. Finalmente, procede como se indica para instalar el certificado y configurar la encriptación S/MIME:

1. Tras abrir el correo enviado por Actalis, descarga el certificado en cualquiera de las carpetas. Al hacer doble clic, los archivos descargados pueden abrirse en macOS directamente y añadirse al administrador de contraseñas con llaveros. Si además, quieres usar S/MIME en iPhone o iPad, primero debes convertir el certificado al formato .p12 a través del administrador de contraseñas con llaveros, para después enviarlo por correo electrónico al dispositivo móvil.

2. Tras la instalación, hay que iniciar o reiniciar Apple Mail para poder integrar los procedimientos de encriptación y firma.
    
3. Ahora es el momento de comprobar si funciona el certificado S/MIME, enviándote a ti mismo un correo electrónico firmado y encriptado. Para ello, encontrarás dos botones específicos en la ventana del correo, un candado para la encriptación y una rueda dentada para la firma. Ambos símbolos se encuentran también en una barra adicional bajo el asunto del mensaje de prueba solo si la encriptación o firma funcionan adecuadamente.