Hace unas semanas me preguntaban por correo sobre la posibilidad de implementar un sistema que permitiera a una asesoría cifrar sus correos sobre todo los dirigidos/recibidos por temas laborales bien nóminas, resultados médicos, etc.

Hasta ahora utilizaban la herramienta truecrypt para cifrar individualmente cada fichero enviado encontrando una gran complejidad sobre todo en el manejo de claves.

Bueno mi respuesta fue clara y es que trabajar con truecrypt que utiliza algoritmos simétricos para realizar cifrados y por lo tanto obliga a todos a tener diferentes claves para todos sus contactos es totalmente improductiva en el caso de tener que enviar información a muchos clientes diferentes.

Lo ideal en el envío de correos sería implementar por todas las partes un mecanismo de cifrado asimétrico (Ej. “PGP – Pretty Good Privacy” dos claves una pública y otra privada)en el que existiría una clave para cifrar y otra para descifrar. El funcionamiento sería similar al siguiente ejemplo:

La empresa A (ej. asesoría) generará sus dos claves una pública y privada. La clave pública la pondrá a disposición de todos sus contactos (empresas B, C, D…) de tal forma que cuando estas quieran enviarle algo tan sólo tendrán que cifrar el contenido con su clave pública (de A). De esta forma se asegura que sólo A podrá descrifrar el contenido de ese correo con su clave privada.

La empresa B (ej. laboratorio) generará sus dos claves (pública y privada). La pública la pondrá a disposición de todos sus contactos (empresas A, E, F, …) de tal forma que cuando estas quieran enviarle algo a la empresa B lo harán cifrando el contenido con su clave pública. Sólamente B podrá descrifrar ese contenido usando su clave privada.

Y así para todos los contactos.

De esta forma cada empresa tendrá lo que se conoce como un anillo de claves donde tendrá sus claves propias más todas las claves públicas de los demás contactos con los que se quiera relacionar lo que simplifica muchísimo la gestión y facilita el cumplimiento de la LOPD referente al cifrado de información de nivel alto cuando se envía a través de redes de telecomunicaciones públicas.

Además este mecanismo de cifrado asimétrico permite evitar el “no repudio” es decir evitar el “yo no he sido”. Últimamente consultan mucho en el colegio de ingenieros técnicos de informática sobre la posibilidad de demostrar que cierta entidad ha enviado ciertos correos. Decir que el correo electrónico es uno de los servicios de internet más inseguros ya que es fácilmente manipulable por lo que realizar ese tipo de demostraciónes no siempre puede ser tarea fácil.

De todas formas esto se sale del enfoque que quería darle a este artículo pero si tuvieran alguna consulta sobre esta materia no duden en hacérmela saber.

Para finalizar comentarles que existen herramientas gratuitas como gnupg o gpg4win con las que implementar este tipo de mecanismos de cifrado.