Vamos a ver qué es MTA-STS y TLS Reporting, las dos medidas de seguridad que ahora estarán incluidas en Gmail.

Lo primero que hay que mencionar es que ambas características son extensiones de SMTP. Se trata del protocolo de transferencia simple de correo, lo que nos permite intercambiar mensajes entre los diferentes dispositivos. Gracias a estas dos nuevas medidas va a ser más seguro su uso.

Qué es MTA-STS y TLS Reporting.

Si empezamos por MTA-STS podemos decir que es un estándar relativamente nuevo con el principal objetivo de mejorar la seguridad de SMTP. Lo que hace es permitir a un proveedor legítimo solicitar a los servidores de correo electrónico que verifiquen esas conexiones de SMTP. Una manera de ganar seguridad antes de enviar un e-mail.

Esto requiere un certificado público válido para poder autenticarse. Es una capa extra de seguridad que resuelve el problema del cifrado opcional, como era anteriormente.

Gracias a este método se consigue mejorar la seguridad del usuario. No sería posible enviar un mensaje en texto plano y que pueda ser interceptado por un tercero. Hay que mencionar que el protocolo MTA-STS ha estado en desarrollo durante bastantes meses y que ahora Google es el primer proveedor que lo incluye en su correo electrónico. Es previsible que pronto esté presente también en otros.

Por tanto, lo que hace MTA-STS es evitar que se pueda interceptar un mensaje enviado entre dos servidores. En caso de que configuremos nuestro servidor con MTA-STS, solamente aceptará mensajes que procedan de un dominio que vaya a través de conexiones cifradas y con autenticación. Esto quiere decir que tenga un certificado público válido y cifrado con TLS 1.2 o superior.

Respecto a TLS Reporting, si lo activamos en nuestro servidor lo que hacemos es solicitar informes diarios donde veremos datos de los servidores externos que se conectan a nuestro dominio. Aquí obtendremos información sobre problemas de conexión y cómo identificarlos. Una manera más de evitar problemas de seguridad.

Evitar los ataques Man-in-the-Middle

En definitiva, Google pretende evitar los ataques Man-in-the-Middle al introducir MTA-STS. De esta forma se asegura de que posibles intrusos no puedan configurar servidores de forma maliciosa para interferir en las conexiones. Este nuevo estándar utiliza capas extras de seguridad por los que la conexión se autentica con un certificado público que sea válido antes de que se cifre con TLS 1.2 o una versión superior.

Por su parte a través de TLS Reporting podemos obtener un informe detallado sobre qué ocurre con los mensajes enviados. Podemos solicitar informes periódicos para tener un mayor control y ganar también en seguridad.

Fundación Proydesa y PwC Argentina firmaron un Acuerdo de Beneficios para que todos los empleados de la firma de consultoría internacional puedan capacitarse en las carreras que forman parte de la oferta educativa de la Red.

Mediante este acuerdo, Fundación Proydesa profundiza su misión de extender el acceso de las Nuevas Tecnologías a todos los ámbitos y sectores, como agente multiplicador de una sociedad más competitiva y eficaz.

El fortalecimiento de las alianzas estratégicas que ayudan a dinamizar un mercado laboral en permanente transformación por la tecnología, es un eje central dentro de nuestra visión sobre el sector de las TICs.

La mayoría de los robos de datos se deben, o bien a una mala configuración del servidor, o bien a que las compañías, como le ha ocurrido a Facebook, están guardando las contraseñas en texto plano de manera negligente.

Desde luego, la forma más insegura y menos recomendable de guardar las contraseñas es hacerlo en texto plano, algo que no se nos debería pasar por la cabeza pero que a día de hoy aún muchas webs lo hacen. En texto plano, la contraseña se guarda tal cual en la base de datos, por ejemplo, si la contraseña es “Proydesa”, esta se guarda como “Proydesa” en el servidor, por lo tanto, cualquiera que tenga acceso a él, ya sea interno como externo, puede hacerse con esta.

En un principio, el cifrado impide que las contraseñas se puedan leer tal cual, aunque la verdad es que tampoco ofrecen la máxima seguridad. Para cifrar una contraseña se utiliza una clave de cifrado que, aunque en un principio las protegen, si el pirata informático la adivina o roba de cualquier otro sitio, no servirá de nada, ya que podrían descifrarse sin demasiada dificultad.

El cifrado está un paso por delante en cuanto a la seguridad de las contraseñas, aunque es insuficiente.

Cuando un servidor utiliza hash para guardar las contraseñas significa que está utilizando un tipo de cifrado de una sola dirección, es decir, irreversible. Cuando el usuario introduce la contraseña por primera vez, esta se cifra con un algoritmo que no permite la vuelta atrás y se guarda en la base de datos de forma segura.

A la hora de iniciar sesión, el usuario introduce la contraseña en la página web, esta se cifra de nuevo y se compara si el hash coincide. Si es así se permite el acceso, si no coincide se rechaza.

Si un pirata accede a la base de datos de una web, este puede robar las contraseñas en formato hash, viendo solo una serie de letras y números sin sentido y que, además, no se pueden descifrar, en teoría. Si hemos utilizado una contraseña débil, mediante fuerza bruta se podría llegar a deducir, pero si esta era robusta entonces no hay de qué preocuparse.

Partiendo de que el hash es más seguro que las contraseñas en texto plano o cifradas, también existen otras técnicas mediante las cuales es posible guardar estas claves de manera aún más segura. Una de estas técnicas es, por ejemplo, añadiendo un pequeño texto plano al principio de la clave ya guardada en hash que dificulte mucho más los ataques de fuerza bruta.

Otra técnica en hacer un doble hash de las contraseñas que, aunque aumenta la seguridad, se pierde bastante rendimiento en el proceso. Por último, también se suelen recurrir a técnicas que mezclan varias de las anteriores, todo con el fin de evitar que los piratas informáticos pongan en peligro las contraseñas de los usuarios.

Guardarlas de forma segura es responsabilidad de los propios administradores de la web o plataforma donde nos registramos. Por desgracia, nosotros no podemos hacer mucho para mejorar la seguridad si la web, por ejemplo, las guarda en texto plano.

Lo único que depende de nosotros es usar una contraseña segura y robusta (para impedir que mediante un ataque de fuerza bruta se pueda recuperar nuestra clave), además de asegurarnos de usar contraseñas únicas y diferentes de manera que, si roban la clave de un sitio web, los demás sigan estando protegidos.