He leído que Google, Microsoft y Yahoo se han unido para presentar un nuevo protocolo para el cifrado de correo electrónico: SMTP Strict Transport Security. Desde mi entendimiento, parece que es solo una forma de hacer obligatorio el TLS en lugar de oportunista. ¿Me estoy perdiendo de algo? ¿Qué hace exactamente el nuevo protocolo?
En segundo lugar, ¿el nuevo protocolo suplantará la necesidad de un servicio como Zix que proporcione cifrado de extremo a extremo?
SMTP es un protocolo de salto por salto donde el correo se transfiere del cliente al destinatario utilizando al menos un servidor intermediario. Incluso cuando se usa SMTP con TLS, el correo está disponible en todos los saltos como texto sin formato, es decir, sin cifrado de extremo a extremo. SMTP Strict Transport Security no cambia esto: todo lo que intenta es asegurarse de que el transporte del correo entre los saltos esté bien asegurado. Pero el correo aún está disponible en forma simple en cada salto y puede ser leído e incluso modificado por cualquier persona que tenga acceso a este salto (es decir, administradores del sistema, y tal vez también piratas informáticos y gobierno).
Las soluciones como PGP o S / MIME, en cambio, ofrecen seguridad de extremo a extremo. En este caso, el correo se encripta por el remitente con la clave pública del destinatario, de modo que nadie, excepto el propietario de la clave privada secreta (es decir, el destinatario) puede descifrarla. Luego, el correo se transfiere mediante el protocolo SMTP habitual, pero nadie intermedio puede descifrar el cuerpo del correo (el encabezado no está cifrado).
No puedo extraer suficientes detalles técnicos sobre Zix desde su página de inicio, pero parece que básicamente están usando las mismas ideas que PGP y S / MIME, es decir, el cifrado de extremo a extremo utilizando un directorio de las claves públicas de los destinatarios. Además de mantener este directorio, ofrecen a los clientes que utilizan este directorio, puertas de enlace para el cifrado y descifrado transparentes para conectar a los clientes de correo habituales y buzones especiales para conectarse con los destinatarios que no están en el directorio.
El último borrador actual es el siguiente: enlace
Es una forma de que un servidor de correo receptor le diga a un servidor de correo que envía que la conexión debe estar cifrada.
No ofrece cifrado de extremo a extremo.
Supongamos que tiene una cuenta en Google y yo tengo una cuenta en Microsoft (hotmail, msn, live). Esta es una manera para que el servidor de Microsoft le diga al servidor de Google que el servidor de Microsoft solo aceptará el correo a través de TLS. Pero tanto Google como Microsoft verán el texto sin formato del correo que me envíes. Necesitan ver el texto simple para hacer el filtrado de spam y crear perfiles de usuario para publicidad dirigida.
Lea otras preguntas en las etiquetas encryption tls smtp