El día 25 de octubre de 2009 20:07, Camaleón escribió:

El 2009-10-25 a las 19:45 -0200, Juan Erbes escribió:

...

Hasta hace poco, no me importaba mucho, el hecho de que me puedan espiar mi email, pero, por determinadas razones, aprovechando que cambié de isp, estaba viendo de implementar con correo con cierta privacidad. Aunque si le voy a mandar un email a alguien que usa una cuenta de hotmail, me parece que ese intento de privacidad, no sirve de nada.

Sí sirve, siempre y cuando cifres el correo y el receptor sepa cómo descifrarlo... y la NSA no sepa cómo hacerlo.

...

Alguien sabe de algun metodo seguro para un sistema de correo con encriptación segura?. (usando ip dinamica por conexion adsl).

No, salvo que uses cifrado y un canal seguro (ssl/tls).

Con Gmail tienes el canal seguro, pero el contenido sigue siendo accesible, salvo que cifres los mensajes y sólo los pueda descifrar quien tenga las claves.

Piensa en el correo electrónico como en el correo postal: ¿qué seguridad/garantía tienes de que el gobierno (o el malo de la peli) espíe o analice tu correspondencia? Salvo que envíes una carta en clave que nadie pueda entender salvo el destinatario, estás en la misma situación que con el e-mail.

No se trata de algo ultrasecreto. Ya estoy un poco oxidado, pero por ejemplo, antes de 1997, Netscape no podía exportar las versiones con 128 bits de encriptación (recordemos que el mismo tenía varios modulos, ademas del navegador, el cliente de correo, y el editor web, como lo fue Mozilla). Esa limitación, fue eliminada a partir del 1997: http://www.geocities.com/capecanaveral/2566/otros/noticia3.html Pero por estos días, ya no se habla de encriptación. Lo ultimo que recuerdo, es que algunas distros Linux, segun para que mercado eran, variaba la cantidad de bits de encriptación. Ahh, lo unico mas o menos actual, referido al tema encriptación, es el tema VPN. Como sería actualmente, si uso las herramientas estandar como por ejemplo, evolution con cifrado gpg (si lo soporta), y el smtp de mi isp? O debo recurrir a postfix para recepción, y msmtp para envío? Que es de la vida del Enigmail? El Thunderbird, permite encriptado? Salu2 Hablemos de cosas normales, como una encriptación con clave gpg. -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

El 2009-10-25 a las 20:26 -0200, Juan Erbes escribió:

El día 25 de octubre de 2009 20:07, Camaleón escribió:

...

El 2009-10-25 a las 19:45 -0200, Juan Erbes escribió:

(...)

Como sería actualmente, si uso las herramientas estandar como por ejemplo, evolution con cifrado gpg (si lo soporta), y el smtp de mi isp?

Para cifrar un correo sólo necesitas soporte en el cliente de correo, el isp o el smtp no entra en juego. Para usar un canal seguro de transmisión (ssl/tls) entonces sí, necesitas que el servidor smtp/pop3 tenga habilitado ese canal/puerto.

O debo recurrir a postfix para recepción, y msmtp para envío?

No, no es necesario. El cliente de correo (MUA) lo gestiona todo.

Que es de la vida del Enigmail? El Thunderbird, permite encriptado?

Sí, el Thunderbird es uno de los clientes que mejor integrado tiene el PGP/GPG.

Hablemos de cosas normales, como una encriptación con clave gpg.

Para usar cifrado y/o firmas gpg sólo necesitas tres cosas: a) Un cliente de correo compatible b) Un servidor de correo con soporte de pop3s/smtps (si quieres usar un canal seguro) c) Un destinatario capaz de gestionar los mensajes cifrados a) y b) es sencillo, el problema lo tienes con c). Necesitas cierta "complicidad" por parte del receptor. Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

El 2009-10-26 a las 22:49 +0100, Carlos E. R. escribió:

El 2009-10-26 a las 08:38 +0100, Camaleón escribió:

...

...

Para usar cifrado y/o firmas gpg sólo necesitas tres cosas:

a) Un cliente de correo compatible b) Un servidor de correo con soporte de pop3s/smtps (si quieres usar un canal seguro) c) Un destinatario capaz de gestionar los mensajes cifrados

El paso 'b', canal seguro, no es estrictamente necesario si el contenido va cifrado. No lo van a poder leer, de todas formas. Para lo que sirve, creo, es para evitar que lo lean en tránsito desde tu ordenador hasta el del proveedor: por ejemplo, para que no te lo lea tu jefe en el curro, pinchando en el router. Pero una vez que ha llegado al proveedor, allí lo pueden leer tranquilamente, se guarda sin cifrar; y no hay garantía de que el proveedor lo envíe cifrado hasta el servidor del destinatario.

Si, sirve para evitar que se capture en tránsito y que sea accesible/legible. Pero si nos podemos en plan paranoico, pues se añade un paso más a romper, es seguridad extra. Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

El 27/10/09, Carlos E. R. escribió:

El 2009-10-26 a las 23:19 +0100, Camaleón escribió:

...

Si, sirve para evitar que se capture en tránsito y que sea accesible/legible.

Pero sólo de una de las cuatro patas del camino:

remitente---b---> SMTP----> SMTP---> POP3----> destinatario ISP 1 ISP 2 ISP 2

Sólo protege el paso 'b', no el resto. Es algo, desde luego, e importante, pero no protege todo el camino. Podría, claro, hacerse, pero no tienes garantía de que lo hagan, al no ser tus servidores.

Si quieres seguridad al máximo, usas un canal seguro en el envío (smtps) que para eso está. Y si la descarga es por pop3s, cierras el círculo. Cuantas más trabas pongas al posible "espía", mejor ¿no? Además de que es la parte más sencilla de implementar, tanto por parte del remitente como del receptor. La secuencia sería: 1) Cifrar el correo 2) Firmarlo digitalmente 3) Enviar mediante smtps 4) Recibir emdiante pop3s / imaps 5) Descifrar 6) Verificar remitente Es más probable que el posible atacante descarte directamente un correo que vaya por canal seguro en favor de otro que vaya por canal abierto... Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

El 2009-10-27 a las 22:24 +0100, Carlos E. R. escribió:

El 2009-10-27 a las 21:00 +0100, Camaleón escribió:

...

El 27/10/09, Carlos E. R. escribió:

...

El 2009-10-26 a las 23:19 +0100, Camaleón escribió:

...

...

Si, sirve para evitar que se capture en tránsito y que sea accesible/legible.

Pero sólo de una de las cuatro patas del camino:

remitente---b---> SMTP----> SMTP---> POP3----> destinatario ISP 1 ISP 2 ISP 2

Sólo protege el paso 'b', no el resto. Es algo, desde luego, e importante, pero no protege todo el camino. Podría, claro, hacerse, pero no tienes garantía de que lo hagan, al no ser tus servidores.

Si quieres seguridad al máximo, usas un canal seguro en el envío (smtps) que para eso está. Y si la descarga es por pop3s, cierras el círculo. Cuantas más trabas pongas al posible "espía", mejor ¿no? Además de que es la parte más sencilla de implementar, tanto por parte del remitente como del receptor.

Claro, pero sólo la parte del envío está bajo tu control; no sabes que va a usar el receptor, ni puedes obligarle. No hay garantías.

Ya, claro... Igual partimos de la base de que el destinatario no tiene cuenta de correo y le llega devuelto al remitente >:-) Creo que ya dije que tenía que haber "cierta complicidad" entre ambos, remitente y destinatario, de lo contrario todo se va todo a pique.

...

La secuencia sería:

1) Cifrar el correo 2) Firmarlo digitalmente 3) Enviar mediante smtps 4) Recibir emdiante pop3s / imaps 5) Descifrar 6) Verificar remitente

Es más probable que el posible atacante descarte directamente un correo que vaya por canal seguro en favor de otro que vaya por canal abierto...

Si no haces (1) no tiene más que ligarse al administrador/a de uno de los servidores por los que pasa y leerlo tranquilamente :-P

¿Y de qué te sirve descifrar un mensaje que no viene realmente de la persona que esperas? Sin firma digital verificada tampoco sabes si lo ha enviado quien piensas que lo ha enviado y recibes la información, sí cifrada... pero "tergiversada" (contraórdenes). Imagina el lío que se puede montar >>:-) Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

El 2009-10-28 a las 00:03 +0100, Carlos E. R. escribió:

El 2009-10-27 a las 22:32 +0100, Camaleón escribió:

...

...

Claro, pero sólo la parte del envío está bajo tu control; no sabes que va a usar el receptor, ni puedes obligarle. No hay garantías.

Ya, claro...

Igual partimos de la base de que el destinatario no tiene cuenta de correo y le llega devuelto al remitente >:-)

Y entonces meten al servidor en la lista de backscatterers >:-P

X-)

...

Creo que ya dije que tenía que haber "cierta complicidad" entre ambos, remitente y destinatario, de lo contrario todo se va todo a pique.

Con smtps, /mucha/ complicidad, y en todos los pasos. Tienes que convencer a telefónica para que envie por ese método cuando habla con gmail, y que intercambien certificados :-p

Casi na.

Necesitas complicidad para el "cifrado". Para usar el canal seguro al enviar (o recibir) no necesitas nada, sólo que el servidor lo permita y que el usuario lo haya configurado en su cliente. Telefónica no sé si admite TLS, pero es que Telefónica... je, no es paradigma de servidor de correo "serio", que digamos >:-)

...

...

Si no haces (1) no tiene más que ligarse al administrador/a de uno de los servidores por los que pasa y leerlo tranquilamente :-P

¿Y de qué te sirve descifrar un mensaje que no viene realmente de la persona que esperas? Sin firma digital verificada tampoco sabes si lo ha enviado quien piensas que lo ha enviado y recibes la información, sí cifrada... pero "tergiversada" (contraórdenes).

Imagina el lío que se puede montar >>:-)

Vale, 1 y 2. A lo que voy es que si sólo haces 3 y 4 puedes leer tranquilamente el correo en cualquiera de los servidores por los que pasa, porque se guarda en los discos sin cifrar de ningún modo. Lo dicho, te ligas a alguno de los administradores, o te enteras de quien se ha liado con la gobernanta a espaldas del jefe, lo coaccionas con las fotos, y lo lees sin trabajo. Fácil :-P

Hombre, sin cifrado y sin canal seguro... ya me dirás. Hasta el ligoteo y la coacción sobra: instalas un sniffer o un keylogger y a esperar. Y una vez que tengas la contraseña de la cuenta, puedes leer los correos desde casa, con toda tranquilidad >:-P Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

El 2009-10-29 a las 13:07 +0100, Carlos E. R. escribió:

El 2009-10-28 a las 08:23 +0100, Camaleón escribió:

...

Necesitas complicidad para el "cifrado". Para usar el canal seguro al enviar (o recibir) no necesitas nada, sólo que el servidor lo permita y que el usuario lo haya configurado en su cliente.

Y canal seguro entre los dos servidores (o tres, o cinco...), lo cual no está bajo nuestro control. Por eso decía lo de tesa.

Está bajo nuestro control siempre y cuando: usuario -> TLS -> servidor A servidor A -> TLS -> servidor B servidor B -> IMAP/s POP3S -> usuario En canal seguro no se puede romper entre servidores, pero como dices, sí se puede romper entre servidor -> usuario.

...

Telefónica no sé si admite TLS, pero es que Telefónica... je, no es paradigma de servidor de correo "serio", que digamos >:-)

No, no lo es, no. Eso es cierto. ¿Pero hay alguno serio, y sin otras pegas? Los de gugle escanean el correo, por ejemplo.

GMail tampoco es serio :-) Pero tienes cosas buenas: - Capacidad de almacenamiento - Webmail/MUA - Canal seguro - IMAP/POP3 Podría mejorar: - Gestión flexible del spam - Reply-To-List Pero no le pido más a un servicio de correo gratuito. Doy por hecho que todos los proveedores analizan (o pueden analizar fácilmente) los correos, Telefónica incluida. Y Telefónica más, porque además de oferece servicio de correo es uno de los mayores ISP del mundo y en España, además de controlarla con lupa (por ser proveedor "semi" estatal" le exigen igualmente mayor responsabilidad, seguimiento y control de los usuarios. Que Google me diga que incluye publicidad automatizada acorde a los textos de los mensajes cuando accedo vía webmail no es un factor que me preocupe sobremanera. Al fin y al cabo ya hace algo similar cuando hago bśuquedas en Google (sabe mi ip, versión de navegador, versión del so, en qué país estoy, qué busco, a qué páginas entro, etc...). Y si además has iniciado sesión en gmail antes de usar el buscador, pero aún porque lo asocia a tu perfil de usuario :-)

...

Hombre, sin cifrado y sin canal seguro... ya me dirás. Hasta el ligoteo y la coacción sobra: instalas un sniffer o un keylogger y a esperar.

Claro :-)

...

Y una vez que tengas la contraseña de la cuenta, puedes leer los correos desde casa, con toda tranquilidad >:-P

Efestivamente. Tal como hace la de Millenium, que ya ni se molesta en escribir correos, directamente abre un archivo en el desktop del destinatario :-p

¿Millenium? ¿Qué es, una serie de tv, una peli...? :-? Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

El día 25 de octubre de 2009 20:36, Shinji Ikari escribió:

On Sunday 25 October 2009 17:07:16 Camaleón wrote:

...

El 2009-10-25 a las 19:45 -0200, Juan Erbes escribió:

...

Hasta hace poco, no me importaba mucho, el hecho de que me puedan espiar mi email, pero, por determinadas razones, aprovechando que cambié de isp, estaba viendo de implementar con correo con cierta privacidad. Aunque si le voy a mandar un email a alguien que usa una cuenta de hotmail, me parece que ese intento de privacidad, no sirve de nada.

Sí sirve, siempre y cuando cifres el correo y el receptor sepa cómo descifrarlo... y la NSA no sepa cómo hacerlo.

...

Alguien sabe de algun metodo seguro para un sistema de correo con encriptación segura?. (usando ip dinamica por conexion adsl).

No, salvo que uses cifrado y un canal seguro (ssl/tls).

Con Gmail tienes el canal seguro, pero el contenido sigue siendo accesible, salvo que cifres los mensajes y sólo los pueda descifrar quien tenga las claves.

Piensa en el correo electrónico como en el correo postal: ¿qué seguridad/garantía tienes de que el gobierno (o el malo de la peli) espíe o analice tu correspondencia? Salvo que envíes una carta en clave que nadie pueda entender salvo el destinatario, estás en la misma situación que con el e-mail.

Saludos,

enviando las llaves por correo físico? leí por ahí que los archivos RAR tienen cierta preferencia para enviar archivos o virus, ya que el el servidor no puede abrirlos.... o algo así.

¬_¬ no nos estamos volviendo algo paranóicos. Mi nombre no es John Connor, por si las moscas. =P

Com se trató en 2 hilos anteriores, con esto de "La Nube", estamos pasando por alto todas las medidas de privacidad que se usaban hace 20 años. Pero hay cisrcunstancias, donde uno debe transmitir información privada, cuantas bancarias, etc, etc, donde uno quisiera tener aunque sea, una pequeña tranquilidad, de que la información que uno envía (o tiene que recibir), la lean solamente quienes la deben ver. Ya se que lograr ese objetivo al 100% es casi imposible, pero al menos, si alguien quiere espiar, dificultarle bastante el trabajo. Un ejemplo de lo que digo, que ya tiene 8 años es el siguiente (para cuando uno transfiere información no encriptada): http://www.seprin.com/virus_logico.htm Salu2 -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

El día 25 de octubre de 2009 21:04, Lluis escribió:

On Sunday 25 October 2009 23:46:48 Juan Erbes wrote:

...

El día 25 de octubre de 2009 20:36, Shinji Ikari

escribió:

...

On Sunday 25 October 2009 17:07:16 Camaleón wrote:

...

El 2009-10-25 a las 19:45 -0200, Juan Erbes escribió:

...

Hasta hace poco, no me importaba mucho, el hecho de que me puedan espiar mi email, pero, por determinadas razones, aprovechando que cambié de isp, estaba viendo de implementar con correo con cierta privacidad. Aunque si le voy a mandar un email a alguien que usa una cuenta de hotmail, me parece que ese intento de privacidad, no sirve de nada.

Sí sirve, siempre y cuando cifres el correo y el receptor sepa cómo descifrarlo... y la NSA no sepa cómo hacerlo.

...

Alguien sabe de algun metodo seguro para un sistema de correo con encriptación segura?. (usando ip dinamica por conexion adsl).

No, salvo que uses cifrado y un canal seguro (ssl/tls).

Con Gmail tienes el canal seguro, pero el contenido sigue siendo accesible, salvo que cifres los mensajes y sólo los pueda descifrar quien tenga las claves.

Piensa en el correo electrónico como en el correo postal: ¿qué seguridad/garantía tienes de que el gobierno (o el malo de la peli) espíe o analice tu correspondencia? Salvo que envíes una carta en clave que nadie pueda entender salvo el destinatario, estás en la misma situación que con el e-mail.

Saludos,

enviando las llaves por correo físico? leí por ahí que los archivos RAR tienen cierta preferencia para enviar archivos o virus, ya que el el servidor no puede abrirlos.... o algo así.

¬_¬ no nos estamos volviendo algo paranóicos. Mi nombre no es John Connor, por si las moscas. =P

Com se trató en 2 hilos anteriores, con esto de "La Nube", estamos pasando por alto todas las medidas de privacidad que se usaban hace 20 años.

Pero hay cisrcunstancias, donde uno debe transmitir información privada, cuantas bancarias, etc, etc, donde uno quisiera tener aunque sea, una pequeña tranquilidad, de que la información que uno envía (o tiene que recibir), la lean solamente quienes la deben ver. Ya se que lograr ese objetivo al 100% es casi imposible, pero al menos, si alguien quiere espiar, dificultarle bastante el trabajo. Un ejemplo de lo que digo, que ya tiene 8 años es el siguiente (para cuando uno transfiere información no encriptada): http://www.seprin.com/virus_logico.htm

Salu2

Yo querria recordar... es tan malo el exceso de informacion como la falta de informacion

Cread mucho trafico encriptado, asi se les acabara el presupuesto.

Veo que tu correo tiene una firma adjunta, el signature.asc. Pero por lo visto, no está encriptado, sino, no lo pudieramos ver. Que metodo de correo usas? Salu2 -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 El 2009-10-25 a las 20:46 -0200, Juan Erbes escribió:

Pero hay cisrcunstancias, donde uno debe transmitir información privada, cuantas bancarias, etc, etc, donde uno quisiera tener aunque sea, una pequeña tranquilidad, de que la información que uno envía (o tiene que recibir), la lean solamente quienes la deben ver. Ya se que lograr ese objetivo al 100% es casi imposible, pero al menos, si alguien quiere espiar, dificultarle bastante el trabajo.

Puedes enviar tus datos bancarios cifrados con PGP con total tranquilidad de que los ladrones no te lo van a leer. Es posible que la CIA pueda, pero no lo sabemos seguro (si lo supieramos, los desarrolladores reforzarían el PGP para que no pudieran). En cualquier caso, les haría falta una potencia de cálculo tremenda, así que no lo van a intentar sólo para leerte tus cuentas, porque para eso se las piden a tu banco >:-) El problema de cifrar el correo es que es engorroso. Yo tuve que hacerlo una vez con un abogado y el hombre no fué capaz... así que recurrimos al correo en papel, certificado en vez de ordinario. Si el destinatario no es una persona técnicamente capaz, olvídate. Técnicamente capaz, y algo meticuloso, para no pifiarla y enviar las llaves (o tenerlas en un papel encima de la mesa), o enviar una copia del correo sin cifrar, o alguna otra gansada. - -- Saludos Carlos E. R. -----BEGIN PGP SIGNATURE----- Version: GnuPG v2.0.9 (GNU/Linux) iEYEARECAAYFAkrk6PwACgkQtTMYHG2NR9XGhACeM3I0VOwt9xIOQLGGcWx6Jqql KvIAn0z1g1Ab1kGCEW0mQFotEsXmret7 =qhkP -----END PGP SIGNATURE-----

El 2009-10-26 a las 00:55 +0100, Carlos E. R. escribió:

El 2009-10-25 a las 23:07 +0100, Camaleón escribió:

...

Piensa en el correo electrónico como en el correo postal: ¿qué seguridad/garantía tienes de que el gobierno (o el malo de la peli) espíe o analice tu correspondencia? Salvo que envíes una carta en clave que nadie pueda entender salvo el destinatario, estás en la misma situación que con el e-mail.

Es peor: correo postal en sobre abierto.

Los sobres los puedes pegar con loctite, y si los abren te enteras. El correo electrónico va abierto y sin sellar. O sea, como las postales. Ya pueden poner las leyes que les de la gana, va abierto.

La única manera es cifrarlo, en origen, antes de que salga de tu máquina. No vale en webmail, ni lotus, ni na.

El correo electrónico tiene la ventaja de que puedes añadirle seguridad fácilmente, si quieres. Si quieres añadir seguridad (real, no me vale un burofax) en el correo postal tienes que hacer malabares para codificar el texto. Más ventajas: en la mensajería electrónica al hacerse la entrega de manera automatizada, se cometen menos errores porque hay menos lugar para la interpretación (por ejemplo, las cartas para un señor de Alicante no terminan en la casa de otro señor en Cartagena) ;-) Y si quieres usar el webmail, puedes enviar el correo en texto claro y como adjunto, el mensaje cifrado. Saludos, -- Camaleón -- Para dar de baja la suscripción, mande un mensaje a: opensuse-es+unsubscribe@opensuse.org Para obtener el resto de direcciones-comando, mande un mensaje a: opensuse-es+help@opensuse.org