Una de las brechas de seguridad más
frecuentes en el tráfico web, suele ser la conexión a lugares donde se
almacena información sensible sin establecer dicha conexión bajo una
capa de cifrado, es el caso de las cuentas de Gmail con su configuración por defecto, claramente insegura.
En este caso, se entiende que desde Google han preferido sacrificar la seguridad en pro de una mayor compatibilidad
con todo tipo de navegadores web, dispositivos móviles, notificadores
de correo, etc, un error a mi entender ya que debería ser al revés en un
caso como este del correo electrónico, primero seguridad y luego compatibilidad o el mejor compromiso posible para estos dos factores.
Este tema es más preocupante al haber muchos usuarios de Gmail que se conectan únicamente a través del navegador, en el caso de recibir el correo vía POP o IMAP, normalmente se hace bajo SSL (Segure Socket Layer) o TSL, su sucesor y esos correos llegarán a vuestro sistema bajo cifrado, por lo que en el caso de que alguien intente interceptar con un sniffer esos datos, al no circular como texto plano (para entendernos), serán mucho más difíciles de capturar.
Para evitar esto en la navegación, se usa el protocolo HTTPS,
similar al HTTP pero bajo una capa de cifrado vía SSL y es básicamente
lo que os recomendamos para un uso correcto y más seguro de Gmail. Esta
opción se hace imprescindible en el caso de que os conectéis vía web a Gmail bajo redes “no seguras” como
pueden ser una Wi-fi pública o abierta, un cibercafé (nada
recomendable), un equipo que se encuentre en vuestro trabajo,
compartido, etc.
¿Cómo activar el uso de HTTPS?
1. Accede a Gmail.
2. Haz clic en Configuración en la parte superior de cualquier página de Gmail.
3. Selecciona “Usar siempre https” para la “Conexión del navegador:”.
4. Haz clic en Guardar cambios.
5. Vuelve a cargar Gmail.
La mejor combinación posible sería (para este caso de Gmail y otros) el uso de SSL activado en vuestro cliente de correo electrónico y si es posible, usar una conexión web segura (https) para consultarlo vía webmail.
Si alguno tiene dudas de su importancia, puede probar a bajar sus correos sin cifrar y someter el tráfico de su tarjeta de red al análisis de una herramienta como Dsniff y cuando vea la contraseña del su cuenta de correo electrónico, así como todos sus mails en texto plano visualizados en la pantalla de su equipo, se dará cuenta de lo devastador que puede ser un ataque de este tipo…
Gmail avisa de que con la opción HTTPS activada, puede haber alguna incompatibilidad con su notificador de correo, subsanable con un parche que ellos mismos proveen y también que en algún caso, su aplicación de Gmail para móviles puede funcionar incorrectamente (también hay instrucciones sobre como intentar solventarlo). También hablan de una posible lentitud en el servicio cosa que personalmente nunca he llegado a notar y las ventajas siempre en este caso pesan mucho más en la balanza.
