23
Un equipo de investigadores compartió detalles sobre las fallas de seguridad existentes en los protocolos de transferencia de correo electrónico que permiten la suplantación de correo electrónico. Los investigadores podrían usurpar fácilmente los dominios del gobierno, los medios y otras organizaciones.
Vulnerabilidades de seguridad en el reenvío de correo electrónico
Investigadores de UC San Diego, EE. UU., la Universidad de Stanford, EE. UU. y la Universidad de Twente, Países Bajos, explicaron los riesgos de seguridad inherentes asociados con la transferencia de correos electrónicos.
Específicamente, demostraron la incapacidad de los protocolos de autenticación existentes para prevenir ataques de suplantación de identidad.
Actualmente, existen las siguientes tres medidas de seguridad (y se usan comúnmente) para evitar la suplantación de correo electrónico.
- Marco de política del remitente (SPF): Especifica las direcciones IP permitidas para enviar correo electrónico para un dominio y las acciones posteriores (como marcar como correo no deseado) si se usa una dirección IP no autorizada.
- Correo identificado por DomainKeys (DKIM): vincula el mensaje de correo electrónico a un dominio del remitente a través de firmas criptográficas. Sin embargo, no verifica al remitente.
- Autenticación, informes y cumplimiento de mensajes de dominio (DMARC): combina los protocolos SPF y DKIM para mitigar los problemas de seguridad subyacentes que cada uno no aborda por separado.
Estos tres protocolos generalmente tienen éxito en la prevención de la suplantación de correo electrónico y el correo no deseado en mayor medida a través de la autenticación adecuada del remitente. Sin embargo, los investigadores observaron que ninguna medida de seguridad garantiza lo mismo para el reenvío de correos electrónicos.
Dado que dichos mensajes involucran a varias partes, en lugar de solo al remitente y al receptor, verificar al remitente se vuelve complicado. Como resultado, es posible suplantar los dominios de correo electrónico del remitente, incluso para los dominios de envío de correo electrónico de confianza, como las identificaciones gubernamentales. Esto se debe principalmente a la falta de una medida de seguridad unificada para proteger los correos electrónicos reenviados, a pesar de la ubicuidad de esta práctica.
El ataque explotó tres problemas de seguridad: validación de transferencia relajada, vulnerabilidades de implementación de la Cadena de recepción autenticada (ARC) y abuso de listas de correo. En su estudio, los investigadores analizaron 20 servicios de reenvío de correo electrónico diferentes y pudieron falsificar dominios importantes como «state.gov», «washingtonpost.gov», etc. También enviaron correos electrónicos falsificados a proveedores populares como Gmail, Zoho y Microsoft Outlook.
Atenuaciones recomendadas
Además de demostrar fallas de seguridad en el reenvío de correo electrónico, los investigadores también recomendaron mitigaciones para evitar dicho abuso. Específicamente, aconsejan a los servicios de correo electrónico que deshabiliten el reenvío abierto, lo que evitará el lavado, eliminará las políticas de validación laxas y mejorará la seguridad de la lista de correo. Además, también sugieren revisar los estándares RFC, mejorar las notificaciones de la interfaz de usuario y desarrollar herramientas de prueba sólidas.
Los investigadores compartieron los detalles de su estudio en un trabajo de investigación programado para ser presentado en el 8º Simposio Europeo IEEE sobre Seguridad y Privacidad.
