1
Gmail y Live Mail, un poco más seguros
Gmail se ha convertido en mi única herramienta de correo electrónico para uso personal. Una de las principales razones para esto es que da soporte para encriptación de todo lo que entra y sale de nuestra casilla hacia y desde los servidores de Google.
El correo electrónico es uno de los servicios más inseguros que existen. Aunque es posible encriptar los mensajes, y casi cualquier geek que se precie debe poner sí o sí su clave pública al pie de los mensajes que envía, el resto de la humanidad no tiene ni la más remota idea de que sus e-mails son cartas abiertas (o casi) ni mucho menos cómo cerrarlas a cal y canto, si acaso esto es posible. Lo peor llega cuando se compra la notebook y el domingo por la mañana va a desayunar a su confitería de confianza que, por supuesto, tiene Wi-Fi. Allí, sin saberlo, sin siquiera sospecharlo, coloca en el aire, al alcance de cualquiera, sus mails y lo que chatea, entre otras cosas. Para el pirata es como robarle un caramelo a un chico. Más fácil, a decir verdad. Una buena porción del robo de identidad se realiza de esta forma.
No, el mail convencional no viaja encriptado, y cuando lo recibimos o enviamos por un Wi-Fi público, estamos emitiéndolo a los cuatro vientos y sin ningún cifrado. Literalmente.
Gmail hace que la encriptación del correo sea transparente. Por mucho que una parte de la comunidad hacker haga mohines de desprecio cuando se habla de facilitarle la vida al usuario, lo cierto es que las tecnologías fructifican cuando llegan a la mayoría. Los cenáculos herméticos y elitistas no sirven más que a sus propios miembros. Y me temo que su principal función es la de hacerlos sentir importantes: saben algo que los demás no. ¡Fuerte ese aplauso!
Gmail soporta el protocolo de transferencia seguro de hipertexto desde su lanzamiento, usando la dirección https://mail.google.com en lugar de http://mail.google.com . La diferencia es pequeña, pero sustancial. Ahora, la encriptación se activa poniendo un tilde en una casilla. Y listo. Enseguida volveré sobre este asunto.
IMAP, SSL y otras cosas raras
Pese a todo, le han encontrado a Gmail brechas de seguridad desde su aparición, en 2004. En 2007 un ingeniero de la consultora IsecAuditors, Vicente Aguilera, descubrió que el mail de Google era vulnerable a un tipo de ataque conocido como CSRF ( en.wikipedia.org/wiki/CSRF ; en inglés). IsecAuditors dijo que Google les había respondido que era consciente de la falla, pero que no la consideraban significativa y que tampoco habían detectado intentos de explotarla. El 3 de marzo de este año ( seclists.org/fulldisclosure/2009/Mar/0029.html ), IsecAuditors hizo pública la falla. Le pregunté a Google sobre esto y me respondieron que el problema fue corregido el 12 de marzo, aunque seguían sin considerarlo un asunto significativo.
Dado que todos los sitios exponen brechas en algún momento, la seguridad de Gmail es, sin tocar nada más ni hacer ajustes finos, mayor y más fácil de implementar que la de Windows Live Mail (antes Hotmail). Cuando se accede a este servicio por medio de la Web, sólo cifra el inicio de sesión; luego regresa al HTTP convencional.
En el caso de Gmail, lo ideal es utilizar un programa como Thunderbird o Windows Live Mail y activar IMAP con SSL ( Security Sockets Layer , el antecesor de TLS, Transport Layer Security ). Más abajo doy las recetas para hacer esto, que suena a lanzamiento espacial, pero que en el fondo es muy sencillo.
Pese a lo dicho, los servicios de la nube están diseñados para que los usemos por medio de la Web. En mi caso, por ejemplo, voy del correo al calendario constantemente, y puedo hacerlo desde cualquier lugar. Es más práctico que sincronizar y ya pasó la época en la que usábamos una sola PC. Hoy vamos del smartphone a la PC, de allí a la notebook, luego a la máquina de la oficina, y así.
Pues bien, si vamos a usar Gmail por medio de un navegador Web ( Internet Explorer, Firefox ), hay que activar la seguridad HTTPS. El primer paso es ir a Gmail como siempre, luego ir a Configuración> General y navegar hasta el pie de la página. Se verá una etiqueta que dice: Conexión del navegador y dos opciones: Usar siempre https y No usar siempre https . Hay que elegir la primera opción, desde luego. De otro modo, sólo cifrará el inicio de sesión.
Es verdad que el procesamiento va a ser un poco (muy poco, en realidad) más lento, porque el sistema a partir de ahora encriptará todo el tráfico de datos entre el navegador y el servidor de Google. Pero, sinceramente, las ventajas son tantas, en especial si trabajamos con una notebook o tenemos un router Wi-Fi, que bien vale tener un poco de paciencia.
El otro inconveniente que encontrará cuando haya activado el uso de HTTPS es que el Gmail Notifier (el notificador de correo oficial) dejará de funcionar. Lógico: estará tratando de conectarse a http://mail.google.com y ahora hemos decidido usar https://mail.google.com . El cambio que hay que hacer en el Registro de Windows para que el notificador vuelva a funcionar bien es muy sencillo. Basta ir a la clave HKEY_CURRENT_USER\Software\Google\Gmail\Flags y cambiar el valor url para que diga https://mail.google.com/mail/.
Si usted no se siente seguro de cómo editar el Registro de Windows , hay un parche de Google para resolver esto. Se lo baja de mail.google.com/support/bin/answer.py?answer=9429
Estas medidas mejoran mucho la inviolabilidad del correo electrónico, pero en esta vida nada es 100% seguro. Así que no es mala idea mirar cada tanto al pie de la página de Gmail, donde se informa si el servicio está siendo accedido desde otra ubicación. Si es así, fíjese de no haber dejado una ventana de Gmail abierta sin darse cuenta. Si no, y si tampoco la dejó en esas condiciones en el trabajo y además el número IP de esa segunda ubicación es diferente del suyo, entonces hay un mirón.
En tal caso habría que cambiar inmediatamente la contraseña. Use una robusta: más de ocho caracteres que combinen mayúsculas, minúsculas, números y símbolos, o bien frases largas en español (o el idioma que prefiera), de 50 o más caracteres. A continuación, cree una cuenta nueva. Revisar los mensajes enviados o hacer una pesquisa para saber quién es el invasor requiere conocimientos que la mayoría de las personas no posee. Así que lo mejor es copiar todos los contenidos de la cuenta a la PC y borrarlos de la que fue invadida.
Gmail con Thunderbird
En la Ayuda de este servicio están las instrucciones detalladas en español para configurar casi todos los clientes de correo que existen usando POP e IMAP. Como ejemplo, aquí va la receta para Thunderbird con IMAP, una combinación que encuentro muy conveniente y razonablemente segura.
La historia es así: en el correo electrónico operan dos servidores. Uno es el que recibe los mails que nos llegan y puede ser del tipo POP3 o IMAP. El otro es el de salida, y siempre es SMTP.
Así que la creación de una cuenta siempre tiene dos etapas, configurar el servidor de correo entrante (POP3 o IMAP) y el de correo saliente (SMTP).
En Thunderbird ( es-ar.www.mozilla.com/es-AR/ ) hay que ir a Herramientas> Configuración de cuentas y apretar el botón Añadir cuenta , elegir Cuenta de correo electrónico , llenar los campos de nombre y dirección (la de su cuenta en Gmail) y en el paso siguiente elegir IMAP.
Ahora hay un campo donde debe poner el nombre del servidor (todos los servidores tienen un nombre, es un hecho de la vida). En este caso es imap.gmail.com . Sigue otro paso donde debe escribir su nombre de usuario. Ojo acá. Aunque en el acceso por la Web no hace falta escribir @gmail.com , en el programa de correo electrónico sí. Ponga su dirección completa y apriete Siguiente para identificar su cuenta de una manera clara.
Ahora hay que hacer los ajustes finos. Vaya a Herramientas> Configuración de cuentas y haga clic en la Configuración del servidor de la cuenta que acaba de crear. Cambie el puerto del servidor IMAP a 993 y en Opciones de seguridad elija SSL.
Luego, haga clic en Servidor de salida (abajo, en el panel de la izquierda) y elija Agregar . Se abre un cuadro de diálogo para poner un nombre (por ejemplo, Servidor de salida en Gmail ) y el nombre del servidor ( smtp.gmail.com ). Cambie ahora el puerto a 587, deje un tilde en Utilizar nombre y contraseña y opte por Utilizar conexión segura del tipo TLS.
Listo, un vínculo bastante seguro con su correo está listo para usarse.
Hotmail
Pese a que Live Mail no ofrece la opción de encriptar todo el tráfico de datos, desde el 12 de marzo se puede acceder de modo seguro en todo el mundo usando un programa como Thunderbird , Outlook Express o su sucesor, Windows Mail , así como de smartphones ( mailcall.spaces.live.com/blog/cns!CC9301187A51FE33!49799.entry ).
Esto significa que sí, se puede usar una cuenta de Windows Live Mail de una forma mucho más segura que accediéndolo por la Web. Ya sé que es más engorroso, pero si acaso hay algo en sus mensajes que le interesa proteger (por seguridad, privacidad, secretos industriales, copyright y demás), entonces conviene tomarse el tiempo. Daré aquí los ejemplos para configurar Windows Mail (los pasos pueden replicarse fácilmente en Outlook Express ) y Thunderbird . En todos lo casos el proceso lleva menos de 5 minutos.
En Windows Mail hay que hacer clic a la izquierda, donde dice Agregar cuenta de correo. Si ya tiene una, haga clic con el botón secundario, elija Propiedades y salte al próximo párrafo de esta columna. Si no, ponga su dirección (que debe haber suscripto previamente en el sitio de Microsoft ), el nombre para mostrar y coloque un tilde en la casilla etiquetada Definir manualmente la configuración del servidor (...). En el siguiente paso use pop3.live.com para el correo entrante y smtp.live.com para el correo saliente. A continuación, coloque un tilde en las dos casillas etiquetadas El servidor requiere una conexión segura . Verá que el puerto para POP3 cambia a 995. Eso está OK. En el caso de SMTP puede usar el puerto 25 o el 587.
Si ya tiene una cuenta, vaya a Opciones avanzadas y tilde las casillas etiquetadas El servidor requiere una conexión segura tanto para POP3 cuanto para SMTP. Si con el puerto 25 el servidor de salida (el SMTP) no funciona, cámbielo manualmente a 587.
Recuerde que el comportamiento predeterminado de los programas de correo electrónico cuando se usa el protocolo POP3 es eliminar los mensajes del servidor de entrada (en este caso, pop3.live.com ) luego de descargarlos con éxito a la PC. Así que si quiere acceder a esos contenidos desde otra ubicación, hay que poner un tilde también en la casilla Dejar una copia de los mensajes en el servidor.
