Supongamos que estamos hablando de un diseño serio para los correos electrónicos, es decir, uno sin un servidor de confianza central (ya tenemos Gmail; si confiamos en un posible Malvado, también podemos elegir uno competente).
Cuando usa un sitio web, usa el sitio web interface , que puede hacer cosas desagradables a sus espaldas. Lo mismo se aplica a cada pieza de software, pero la Web es especialmente dinámica : por definición, se descarga de nuevo cada vez que se conecta. Con una aplicación instalada localmente, puede realizar una revisión una vez (por ejemplo, compilar GnuPG de la fuente); si la aplicación es "limpia", se mantiene limpia; y si fue contra puerta trasera, entonces, al menos, puede guardar una copia como prueba para el análisis post mortem. Tales cosas son mucho más difíciles con un sitio web.
Por lo tanto, una solución basada en la Web puede engañarte fácilmente.
También, sabemos que la administración de claves, incluida la generación y el almacenamiento, es sutil. Como las claves se concentran en secreto, son objetivos de alto valor y deben protegerse en consecuencia. GnuPG utiliza mlock() (o su equivalente de Windows) para evitar que la clave se escriba en el espacio de intercambio. No puede hacer eso en Javascript ... Del mismo modo, algunas tareas criptográficas relacionadas con contraseñas (por ejemplo, cifrado basado en contraseña de un conjunto de claves) necesitan un poco de hashing lento y salado ( bcrypt & co) para hacer frente a la debilidad inherente de las contraseñas como las contraseñas. El hash lento requiere algo de músculo. Javascript es muy débil a ese respecto. Y si queremos ser serios con la administración de claves, queremos las tarjetas inteligentes , a las que de nuevo será difícil acceder desde un Aplicación web.
Por lo tanto, afirmo que es muy difícil hacer una correcta solución web para correos electrónicos seguros, incluso cuando todos los desarrolladores son de primera categoría.
Y, por supuesto, ¿cómo puede saber si un sitio web determinado fue desarrollado adecuadamente por personas que conocen su oficio?