13º-21º
martes | 29 abril | 2025
Cuando Google anunció este martes que incorporaría mensajes cifrados de extremo a extremo (E2EE) en Gmail para usuarios empresariales, la noticia generó escepticismo. Expertos en seguridad señalaron que el sistema no cumple con la definición técnica estricta de E2EE, mientras otros cuestionaron su mecanismo interno.
Según la compañía, los correos se cifran directamente en el navegador del remitente (Chrome, Firefox u otros) y permanecen encriptados durante su transmisión. Solo se descifran al llegar al destinatario, dentro de su propio navegador. Sin embargo, olvidan un detalle: aunque el proceso de cifrado/descifrado ocurre en los dispositivos, la gestión de claves recae en servidores controlados por las organizaciones, lo que abre un flanco crítico.
El principal atractivo de esta herramienta es facilitar el cumplimiento normativo para agencias gubernamentales y empresas, evitando los obstáculos de estándares como S/MIME. Este último, ampliamente considerado complejo y costoso, requiere que cada usuario posea un certificado X.509 emitido por una autoridad certificadora, un proceso lento y poco ágil para situaciones urgentes.
Google promete eliminar estas barreras. Por ejemplo, si "Pedro" necesita enviar un correo cifrado a "Pablo", basta con redactarlo, activar la función y enviarlo. Su navegador cifra el mensaje, que solo se descifrará en el navegador de "Pablo" tras su autenticación.
Detrás de esta magia hay un servidor ligero llamado KACL (lista de control de acceso a claves), alojado en la nube o en servidores locales de la organización. Aquí se generan y almacenan claves efímeras. Cuando "Pedro" envía un mensaje, su navegador obtiene una clave simétrica temporal del KACL, cifra el contenido y envía una "clave de referencia" a "Pablo". Esta última usa dicha clave para recuperar la simétrica del KACL y descifrar el mensaje, tras autenticarse mediante proveedores como Okta o Ping.
Para los puristas, el E2EE auténtico exige que solo emisor y receptor controlen las claves. En este caso, los administradores de la organización de "Pedro" tienen acceso al KACL, lo que les permite interceptar comunicaciones. "Gmail jamás tiene la clave real ni el contenido descifrado. Todo ocurre en el dispositivo del usuario", aseguró Julien Duplant, gerente de Google Workspace, al portal tecnológico Ars Technica. No obstante, la custodia corporativa de las claves rompe con el principio de exclusividad del E2EE tradicional.
La funcionalidad, parte de la tecnología CSE (cifrado del lado del cliente), está diseñada para entornos regulados que priorizan la agilidad sobre el control absoluto. No es apta para consumidores o quienes busquen privacidad inquebrantable. Como advierten los expertos: si su organización gestiona las claves, su privacidad depende de su confianza en ella.
Mientras Google celebra un avance en accesibilidad para empresas, la comunidad de seguridad recuerda que el verdadero E2EE no delega responsabilidades. Un recordatorio para los defensores de la privacidad: en el cifrado, el diablo siempre está en los detalles.
