Gmail y sus "avances" en seguridad

Muchas son las veces en la que los fanboys demuestran esa faceta. Ese amor ciego por encima de todo a Mac, o esa negación de la realidad de que algo está mal y debe ser cambiado. Yo como buen Maligno miembro de Spectra procuro meterme en el fango en todas las batallas que pueda hacieno clic en el botón derecho y o pulsando la tecla de Inico de Windows. Al fuego con fuego.

Lo más curioso es que el proceder de las cosas suele hacer que en algunas ocasiones, tras quejarme de algo, y discutir con los fanboys, luego va la empresa y me deja mal arreglándo justo aquello de lo que yo me quejaba. Así, cuando me quejé de la política de conexión WiFi en la Ubuntu 8.0.4, luego metieron los cambios que muchos fanboys defendían como innecesarios. Cuando en la gira Up To Secure subía a algún usuario de Chrome de entre el público para hacerle deshabilitar javascript desde el interfaz gráfico y verles buscar algo que solo se podía hacer mediante parámetros por consola, Google decidió chafarme la fiesta y añadir la opción en el interfaz (aunque sin demasiada fortuna, lo que nos dio más horas de diversión maligna).

En el tema del correo de Gmail, yo me he quejado muchas veces de lo mal que funcionan los filtros Anti-Phishing. He hecho mil y una demos suplantando a bancos y obteniendo anuncios de banca pagados en su phishing en Gmail. Horas de diversión con Gmail.

De entre las cosas que me quejaba es que SPF lo implementan pero no lo usan, y que DKIM lo tienen implementado pero "lo justito", ya que no tienen la política en _adsp._domainkey.gmail.com, sitio donde debería aparecer. Es por eso que escribí la serie explicando las diferencias entre DKIM, Domainkeys e Identified Mail para explicar por qué creía que DKIM, tal como lo implementa Gmail, ayuda pero poco.

Lo cierto es que la implementación de DKIM que tiene Gmail es tan personal como artesana, que ningunea la potencia del standar, eso sí "cumpliendo la letra pero no el espíritu", como ya hiciera co el SPF.

El SPF, el Spoofing de correo y las alertas de usuario

SPF o SenderID tienen sus ventajas e inconvenientes, y al final, como no son perfectos, deben ayudar al usuario. El estándar deja en manos de la implementación la decisión de borrar o marcar los correos que vengan con FAIL.

Microsoft optó por marcar con alertas en hotmail y Google en poner un texto en el mensaje que el usuario no podía ver nunca. Es por eso que nosotros creamos una herramienta llamada Apolo y que alguna compañía de seguridad sacó un producto comercial para poner esas alertas que Gmail no ponía.


Figura 1: Correos falsos en Gmail vistos con Apolo activado
DKIM y Gmail

Con el nuevo anuncio de Gmail de alertas, yo pensé que iban a añadir alertas con una política seria que analizara DKIM y SPF, algo similar al algoritmo que diseñamos para Apolo, pero no. Es bastante triste.

1) Sigue pasando del SPF, por lo que es posible meter correos falsos de cualquier dominio (salvo Paypal y Gmail) en la bandeja de correo de Gmail.


Figura 2: Correo falso desde Hotmail en el inbox de Gmail sin alerta
2) Configura DKIM en positivo y en negativo warning para Gmail: Es decir, si analizando el correo viene un firma DKIM, entonces en los detalles del correo se verá que viene firmado. Si no viene firma DKIM, entonces, si viene de Gmail y solo de Gmail, muestra una alerta de seguridad, tal y como lleva años haciendo Hotmail.


Figura 3: Warning, un correo GMail sin DKIM
Además, no se puede confiar en él, ya que no se atreven a tirarlo, ni mandarlo a Spam ni nada, solo un Warning.

3) No comprueba políticas DKIM de nadie más (a excepción de Paypal): Google, en su implementación de Gmail, solo realiza la misma excepción con Paypal. Es decir, si alguien monta DKIM en su empresa para estar "más seguro", pone una política DKIM en su servidor DNS y alguien le suplanta enviando un correo falso en su nombre a un destinatario de Gmail, le llegará si ninguna alerta. Es decir, Gmail pasa de la política DKIM del resto del mundo.

En este caso un ejemplo con Forefront-es, que tiene su política DKIM con el valor discardable, es decir, que si llega un correo del dominio @forefront-es.com que no vaya firmado por DKIM, quiere que se tire.


Figura 4: Política DKIM en Forefront-es
Sin embargo, como el estándar DKIM permite que la implementación que se haga de DKIM no consulte la política del dominio remitente, el correo llega sin alerta ninguna a la bandeja de entrada del destinatiario en Gmail. ¿Entonces va a reducir el spam DKIM? No.


Figura 5: Correo sin firma DKIM en el inbox de Gmail

Resent-by

Eso sí, después de años de hacerlo Hotmail, Gmail lo ha copiado también para que si alguien envía el mensaje en nombre de otro, se vea en el mensaje, algo de lo que me quejaba cuando hablaba de la implementación de SPF de Gmail y de Sender ID de Hotmail.


Figura 6: Así lo hace Hotmail desde hace años


Figura 7: Así lo hace ahora Gmail
Eso sí, Gmail siempre ha molado, haya hecho lo que haya hecho.

Saludos Malignos!