S/MIME en el correo electrónico empresarial

Secure/Multipurpose Internet Mail Extensions es un estándar para cifrar y firmar digitalmente datos MIME, el formato utilizado para el correo electrónico. A diferencia de PGP, S/MIME utiliza certificados X.509 emitidos por autoridades certificadoras en lugar de una red de confianza. Está integrado en la mayoría de los clientes de correo empresariales, lo que facilita su implementación en entornos administrados.

PGP depende del intercambio y la confianza manuales de las claves públicas. S/MIME depende de certificados que vinculan una clave pública a una dirección de correo electrónico y están firmados por una autoridad certificadora de confianza. La autoridad certificadora avala la identidad del titular del certificado. Si confía en la autoridad certificadora, confía automáticamente en los certificados que ha emitido, sin necesidad de verificar cada clave individualmente.

Puede obtener certificados S/MIME personales de autoridades certificadoras comerciales como Sectigo o DigiCert, a veces de forma gratuita para uso personal. La autoridad certificadora verifica que usted controla la dirección de correo electrónico antes de emitir el certificado. El archivo resultante contiene su certificado (clave pública) y su clave privada. Después, el certificado se importa en su cliente de correo electrónico.

Microsoft Outlook ofrece compatibilidad nativa con S/MIME en Windows y puede configurarse para firmar o cifrar automáticamente todo el correo saliente una vez instalado un certificado. Apple Mail en macOS e iOS también admite S/MIME de forma nativa y muestra iconos de candado para los mensajes cifrados e iconos de cinta para los mensajes firmados. Ninguno de los dos clientes requiere complementos.

S/MIME admite dos operaciones independientes. Una firma digital adjunta una prueba criptográfica de que el mensaje procede del remitente indicado y no ha sido modificado. El cifrado transforma el cuerpo del mensaje para que solo el destinatario pueda leerlo. Puede firmar sin cifrar, cifrar sin firmar o hacer ambas cosas. La mayoría de las implementaciones empresariales requieren como mínimo la firma.

Cuando firma un correo electrónico con S/MIME, su cliente de correo utiliza su clave privada para crear una firma sobre el hash del mensaje. El cliente del destinatario verifica la firma mediante la clave pública del certificado de usted y confirma que el certificado fue emitido por una autoridad certificadora de confianza. Una firma válida indica al destinatario que el mensaje procede realmente de su dirección de correo electrónico y no ha sido manipulado.

Para enviar un correo electrónico cifrado con S/MIME, necesita el certificado del destinatario, concretamente su clave pública. Normalmente, los destinatarios comparten su certificado enviándole primero un correo firmado; después, su cliente de correo almacena automáticamente dicho certificado. Sin el certificado del destinatario registrado, no es posible cifrar, lo que constituye un obstáculo frecuente en la implementación.

Las organizaciones grandes suelen ejecutar su propia autoridad certificadora interna mediante Microsoft Active Directory Certificate Services o una solución similar. La autoridad certificadora interna emite automáticamente certificados S/MIME a todos los empleados mediante la directiva de grupo. Todos los equipos de la empresa confían en la autoridad certificadora interna de forma predeterminada, lo que permite intercambiar correos cifrados y firmados sin complicaciones dentro de la organización y sin los costes de una autoridad certificadora externa.

S/MIME utiliza un modelo jerárquico de confianza basado en autoridades certificadoras, mientras que PGP utiliza una red de confianza descentralizada. Los certificados S/MIME contienen metadatos de identidad verificados por la autoridad certificadora; las claves PGP contienen lo que el propietario afirma sobre ellas. S/MIME se adapta mejor a entornos corporativos administrados; PGP es más flexible para usuarios independientes. Ambos ofrecen una solidez criptográfica equivalente cuando se configuran correctamente.

S/MIME se integra directamente en Outlook, Exchange y Active Directory sin necesidad de software adicional. Los departamentos de TI pueden automatizar la emisión y renovación de certificados. Los marcos de cumplimiento como HIPAA y las normativas financieras suelen hacer referencia específica a S/MIME. PGP requiere instalar complementos, gestionar un anillo de claves y formar a los usuarios en la red de confianza, lo que dificulta su implementación a gran escala.

S/MIME cifra el cuerpo del mensaje, pero no la línea de asunto, que permanece en texto sin formato. Los servidores de correo no pueden buscar ni filtrar los mensajes cifrados. Si pierde su clave privada, los correos electrónicos cifrados archivados serán ilegibles de forma permanente. La custodia de claves por parte de la autoridad certificadora de la organización es habitual para evitar la pérdida de datos, pero crea un tercero con acceso a todo el correo cifrado.

¿Qué se necesita antes de poder enviar un correo electrónico cifrado con S/MIME a un colega?

S/MIME proporciona cifrado de correo electrónico y firmas digitales mediante certificados X.509 de autoridades certificadoras de confianza. Está integrado en Outlook y Apple Mail, lo que simplifica su implementación empresarial. La firma demuestra la identidad del remitente; para cifrar se necesita el certificado del destinatario. Las autoridades certificadoras internas permiten aprovisionar certificados automáticamente a gran escala. Las líneas de asunto permanecen sin cifrar en todas las implementaciones de S/MIME.