¿Qué es más seguro para el correo electrónico? ¿Usar Gmail o usar una infraestructura propia, por ejemplo con Exchange o Lotus Notes?

La debilidad más grande de ambos servicios consiste en que es posible acceder la cuenta de correo electrónico sabiendo la dirección de correo electrónico y la contraseña. 

La dirección de correo electrónico es pública, la informamos a quién la solicite y con unas cuantas búsquedas en Google se puede obtener.

Una buena contraseña es muy segura y para fines prácticos indescifrable. Pero averiguar la contraseña puede ser trivial si se utiliza un computador que no es seguro. Existen virus informáticos del tipo “Keylogger”, que son programas que registran lo que uno escribe en el teclado y lo transmite al ciber-criminal. Por este motivo las computadoras públicas son un gran riesgo, pues es probable que tengan virus informático. Muchas computadoras en las oficinas y en las casas también tienen virus informático. Aunque las computadoras Mac y Linux están mucho menos expuestas que las con Windows, ninguna es inmune.

El riesgo de descifrar una contraseña es el mismo tanto para Gmail como para Exchange, Lotus Notes y otros servicios privados. Con Exchange y Lotus Notes es posible limitar la computadora que accede a la cuenta mediante certificados, de esta manera si un “hacker” obtiene la contraseña no podrá acceder a la cuenta de correo desde su computadora. Sin embargo esta limitación por lo general no se usa, ya que impide tu acceso a la cuenta de correo en tu teléfono y tableta y en otras computadoras mediante un cliente Web.

Google ofrece autenticación en dos pasos y autenticación de aplicaciones. Esta solución ofrece la seguridad de acceso a computadores específicos sin las limitaciones del uso de certificados.

La autenticación en dos pasos se activa entrando a la configuración del correo electrónico, luego a la pestaña de cuentas y después a la configuración de la cuenta Google. En la sección de seguridad se activa la autenticación en dos pasos. El proceso de configuración es sencillo y toma unos 10 minutos.

Con la autenticación en dos pasos activada se registra la dirección de correo electrónico y contraseña como siempre. Si los datos son correctos Gmail pide una segunda contraseña. Esta contraseña es un número generado de manera muy similar a los dispositivos “token” de los bancos. La segunda contraseña se puede obtener de varias maneras:

Cuando se accede la cuenta con las dos contraseñas correctas es posible habilitar el dispositivo por 30 días sin tener que proporcionar la segunda contraseña. Como la segunda contraseña cambia cada vez, al hacker no le sirve de nada tener su registro.

Adicionalmente Gmail puede generar una contraseña especial para programas y dispositivos que no pueden solicitar una segunda contraseña, por ejemplo Outlook o un teléfono.

Gmail también permite administrar qué dispositivos y programas pueden acceder la cuenta, de esta manera es posible revocar el acceso a computadoras, programas, teléfonos y tabletas. Saber qué dispositivos acceden la cuenta es siempre útil.

Es posible especificar medidas de recuperación alternas, que te permiten enfrentar un robo del teléfono y la computadora al mismo tiempo. Si te roban sólo la computadora puedes entrar a otra computadora con la clave del teléfono y desactivar la computadora robada. Si te roban el teléfono puedes entrar a la computadora registrada y cambiar el teléfono.

En conclusión, el servicio de Gmail con la autenticación en dos pasos es igual de seguro que el servicio de Exchange y Lotus Notes con certificados. Gmail ofrece algunas ventajas adicionales: