Google reveló recientemente que está llevando el cifrado de extremo a extremo (E2EE) a Gmail, dirigido a usuarios corporativos.
La novedad fue recibida con entusiasmo, pero un vistazo más atento revela que la implementación no sigue exactamente el concepto tradicional de E2EE, donde solo el remitente y el destinatario tienen acceso al contenido de los mensajes.
En la solución presentada por Google, el cifrado ocurre directamente en el navegador del remitente – ya sea en Chrome, Firefox u otro – y el mensaje sigue protegido hasta llegar al destinatario, donde se descifra dentro del propio navegador.
Este proceso elimina la necesidad del tradicional S/MIME, un sistema complejo que requiere certificados digitales individuales para cada usuario, dificultando su adopción para muchas empresas.
La gran ventaja de este nuevo recurso es la simplificación. Ahora, basta con que el remitente active el cifrado con un clic antes de enviar el correo electrónico.
El sistema se basa en un servidor de claves llamado KACL (Key Access Control List), que puede ser alojado internamente o en la nube.
Cuando se envía un correo electrónico cifrado, el navegador del remitente se conecta a este servidor, obtiene una clave temporal de cifrado y protege el mensaje antes del envío.
El destinatario, al recibir el mensaje, recupera esta clave del KACL al autenticarse y descifra el contenido.
Sin embargo, la polémica radica en el hecho de que, aunque Google garantiza que no tiene acceso a las claves, los administradores de la organización del remitente sí lo tienen.
Esto significa que, aunque el cifrado y el descifrado ocurran en los dispositivos de los usuarios, los responsables de la gestión del KACL pueden acceder al contenido de los mensajes.
De esta forma, para los expertos en seguridad digital, la solución no representa un cifrado de extremo a extremo puro, ya que hay terceros involucrados en la protección de las claves.
Para empresas que necesitan cumplir con requisitos regulatorios de seguridad, esta tecnología puede facilitar la adopción de correos electrónicos protegidos.
Sin embargo, para usuarios comunes que buscan privacidad total, la implementación de Google puede no ser suficiente.
