¿Quién puede leer mi correo electrónico?

6

Acabo de enviar un correo electrónico a mi colega. Además de sus ojos y los míos, ¿quién puede leer el cuerpo del mensaje?

Asunciones:

  1. Tengo una dirección de [email protected], alojada por Google Apps.

  2. El destinatario tiene una dirección de [email protected], alojada por MS Office 365 / Exchange Online.

  3. Ambos estamos usando el correo web con conexiones HTTPS para leer / escribir correo.

  4. Google / MS usa SMTP con TLS 1.3 (o algún método criptográficamente seguro) para la transferencia de correo. (Esto puede o no ser realmente cierto, pero asumamos para este ejercicio).

  5. Suponga que ambas PC no están comprometidas de ninguna manera.

  6. Suponga que los piratas informáticos, NSA, etc. no pueden romper TLS / HTTPS en un tiempo razonable.

Puntos de bonificación: ¿Alguna de estas suposiciones es prácticamente irrazonable? ¿Por qué?

    
pregunta Jon Wadsworth 01.09.2016 - 21:19
fuente

2 respuestas

5

Probablemente esté al tanto de que los proveedores pueden acceder a los correos electrónicos.

Los 2 proveedores pueden o no transferir correos electrónicos entre ellos a través de un canal encriptado. Algunos proveedores tienen acuerdos con otros para que solo intercambien correos electrónicos entre ellos a través de un canal cifrado.

Cerca del 50% al 60% de los correos electrónicos que Google intercambió con diferentes proveedores en 2014 se cifraron, el otro 40% a 50% no. ( Source. )

Cualquier persona que se sienta entre sus servidores puede leer un correo electrónico sin cifrar transportado en texto sin formato entre los proveedores de correo electrónico. Especialmente a través de servicios secretos que tienen acceso a puntos de intercambio de Internet .

Pero en contra de los servicios secretos, asegurar cualquier cosa a través de HTTPS es defectuoso de todos modos. Pueden crear fácilmente certificados de confianza y pueden leer o manipular fácilmente su tráfico HTTPS. Incluso las compañías de antivirus pueden comprometer el tráfico HTTPS y, de hecho, hacer esto todo el tiempo, lo cual recibí muchos comentarios negativos por reclamarlo here hasta que presente la prueba. Entonces realmente, tu sexta suposición es incorrecta. Y esto significa que tu tercera suposición es inútil.

También podemos descartar el quinto supuesto, ya que cualquiera de las partes probablemente esté usando una computadora con sistema operativo Windows o Mac OSX que tenga puertas traseras universales y que ya estén comprometidas antes de que se las enviemos. Si cualquiera de las partes tiene instalado un software antivirus ... bueno, creo que ya he discutido quién puede leer en el párrafo anterior.

Los países que no sienten que sus servicios secretos sean lo suficientemente poderosos, como Alemania, simplemente crean una ley que establece que (en el caso de Alemania) los proveedores de correo electrónico con al menos 1 k de cuentas de correo electrónico y compañías que no proporcionan correo electrónico a otros, pero solo para ellos mismos con al menos 10 k las cuentas de correo electrónico tienen que comprar hardware que entregue el tráfico de correo entrante y saliente a las autoridades. En el caso de Alemania, estos correos electrónicos se verifican automáticamente y cada año, decenas de millones de correos electrónicos se encuentran sospechosos y se dirigen a un humano para que los lea.

    
respondido por el UTF-8 01.09.2016 - 22:04
fuente
3
  • cualquier persona que sepa (o pueda adivinar) su contraseña, o algún otro método para obtener acceso a la cuenta (por ejemplo, "Olvidé mi contraseña" con preguntas de seguridad o un enlace de correo electrónico enviado a otra dirección, etc.)
  • cualquier persona que pueda tomar el control de su computadora (a través de algún virus, troyano, exploit, social enineering, bug en el navegador, XSS, etc.) - sí, sé que menciona (5), pero este es un problema bastante real .
  • cualquier persona en google con el nivel de acceso adecuado
  • cualquiera en Microsoft con el nivel de acceso adecuado
  • cualquiera en hiscorp.com (y quizás mycorp.com) con el nivel de acceso adecuado (como se menciona en los comentarios de @drewbenn)
  • cualquier gobierno u otra organización que pueda ordenar, coaccionar o sobornar a alguien en google o microsoft (o su amigo o usted)
  • cualquier parte en la ruta you - google - microsoft - her que tiene la capacidad suficiente para tirar SSL del ataque del hombre en el medio. "STARTTLS" es opcional incluso cuando es compatible.

En resumen, si está realmente interesado en cualquier posibilidad de comunicación segura por correo electrónico, debe usar criptografía de extremo a extremo, como PGP / GPG o S/MIME . De ninguna manera es a prueba de balas, pero al menos te da alguna posibilidad de lucha.

    
respondido por el Matija Nalis 01.09.2016 - 22:11
fuente

Lea otras preguntas en las etiquetas