¿Por qué no hay más servicios que ofrecen cifrado para las notificaciones por correo electrónico?

La administración de claves es el principal desafío y barrera para la implementación de cifrado de igual a igual (ya sea por correo electrónico o de otra manera). Hay compañías (como Zixcorp) que simplifican la protección de datos para organizaciones más grandes. Zixcorp se usa más comúnmente en la atención médica que en la banca.

Otros proveedores como Messagelabs, Websense y otros proveedores de pasarelas de seguridad de correo electrónico ofrecen una funcionalidad similar a Zix, donde el usuario recibe una notificación de un mensaje y hace clic en un enlace para recuperar el mensaje. Esto elimina la administración de claves al obligar al usuario a recuperar el mensaje a través de un canal seguro (aún sujeto a ataques y falsificaciones, pero tal método todavía está en uso).

Fundamentalmente, las organizaciones que necesitan enviar información confidencial tienen varias opciones basadas en su filosofía de comunicación con el cliente. Forzar a los usuarios a conectarse a sus servidores para recuperar notificaciones simplifica el flujo de comunicación al reducir los "saltos" involucrados, así como a minimizar la responsabilidad al centralizar el almacenamiento de datos. Por ejemplo, si un banco usa claves Zix, GPG o algún otro método a través de un tercero para enviar la comunicación, hay costos generales relacionados con el riesgo del tercero. En el caso de las claves de GPG, ¿qué sucede si el banco arruina y envía su información a otra persona utilizando las claves de GPG de los destinatarios? Tal evento es fácilmente posible: aún recibo pagos y notificaciones de cuenta de una gran compañía de financiamiento de automóviles después de que vendí mi auto a otra persona.

Al centralizar la comunicación, es mucho más fácil para un banco proteger los datos y reducir la responsabilidad.

Creo que es la falta de uso generalizado. No puedo pensar en ninguna razón técnica por la que su banco o cualquier otra parte no pueda enviarle correos electrónicos encriptados y automatizados, simplemente creo que es que muy pocas personas usan cualquier forma de correo electrónico encriptado (y por lo tanto, la mayoría del público no lo hace). "No tiene claves públicas) que, desde su punto de vista, no vale la pena considerar.

La siguiente pregunta es, obviamente, '¿Cómo podemos proporcionar una configuración de correo electrónico segura para las masas, sin tener que enseñarles los fundamentos (aparentemente demasiado complicados) de GPG?'

(Creo que realmente está preguntando sobre la firma del correo electrónico, no sobre el cifrado. La firma es la primitiva criptográfica relevante, ya que desea verificar el origen del correo electrónico).

Descripción general. Está lejos de ser trivial para que el banco envíe a todos sus clientes un correo electrónico firmado. Hay tres desafíos principales:

• Implementación. Los clientes de correo electrónico de muchos usuarios no admiten la verificación de firmas, por lo que esto no tendría ningún valor para ellos.

• Administración de claves. ¿Cómo obtienen los usuarios la clave pública de su banco de una manera que no está sujeta a falsificación? Estas cuestiones no son triviales.

• Usabilidad. Finalmente, el problema más serio: el correo electrónico firmado no es utilizable por los usuarios promedio. Es terriblemente confuso para los usuarios finales. Aparte del hecho de que cualquier mecanismo de seguridad que no sea utilizable, no tendrá mucho beneficio para la seguridad, solo piense en todas las llamadas a la mesa de ayuda que el banco va a obtener al respecto. Cada llamada a la mesa de ayuda probablemente le cueste al banco $ 20-40, por lo que sería un costo muy alto. Ouch.

Detalles. Para más información sobre este tema, me gustaría señalarle algunos artículos científicos en la literatura de investigación:

• Vistas, reacciones e impacto del correo firmado digitalmente en el comercio electrónico . Simson L. Garfinkel, Jeffrey I. Schiller, Erik Nordlander, David Margrave y Robert C. Miller. FC 2005.

• Cómo hacer que el correo electrónico seguro sea más fácil de usar . Simson L. Garfinkel, David Margrave, Jeffrey I. Schiller, Erik Nordlander, Robert C. Miller. CHI 2005.

• Johnny 2: una prueba de usuario de la administración de continuidad de claves con S / MIME y Outlook Express . Simson L. Garfinkel, Robert C. Miller. SOPAS 2005.

Por ejemplo, el último trabajo muestra que algo así como el 20-50% de los usuarios no pueden usar el correo electrónico firmado de forma segura y, por lo tanto, podrían ser engañados por varios ataques.