Glob@lCerts VISIÓN GENERAL DEL PRODUCTO: La pasarela GlobalCerts TM SecureMail Gateway TM El encriptado y desencriptado automático es una prestación que sólo ofrece la SecureMail Gateway La GlobalCerts SecureMail Gateway se basa en una instalación para servidor de red que encripta automáticamente el correo electrónico que sale a Internet cuando es posible. También desencripta de manera automática el correo electrónico encriptado entrante y lo suministra a la aplicación de correo existente. La SecureMail Gateway permite incluso que los usuarios envíen correo encriptado a personas que no cuentan con nada más sofisticado que un navegador web básico. La pasarela se instala con un mínimo esfuerzo y no requiere instalar software en los ordenadores de los usuarios ni en los servidores corporativos de correo electrónico. Está basada en estándares y utiliza certificados de clave pública X.509 con los protocolos y formatos estándares de correo electrónico. GlobalCerts TM SecureMail Gateway TM La solución de seguridad GlobalCerts para correo electrónico está basada en una instalación en red, la pasarela GlobalCerts SecureMail Gateway. Esta solución se instala sobre la red de la empresa y se configura para encriptar y desencriptar el correo electrónico que sale a Internet o que procede de Internet. El encriptado y desencriptado automático es una prestación que sólo ofrece la pasarela SecureMail Gateway. Para llevar a cabo este encriptado y desencriptado automático, una pasarela SecureMail Gateway administra certificados de clave pública compatibles con X.509 para cada usuario de correo electrónico. La pasarela almacena tanto la clave pública como la clave privada, de manera segura, dentro de la instalación. La Gateway se puede configurar para encriptar siempre el correo de salida o para encriptar sólo cuando se envía correo a determinados usuarios. Si el destinatario dispone de un certificado X.509 que pueda descubrir la pasarela, se encriptará siempre su correo utilizando la clave pública incluida en dicho certificado. Incluso si los destinatarios de correo electrónico no disponen de software criptográfico ni de una pasarela SecureMail Gateway propia, también pueden recibir correo electrónico de usuarios de SecureMail Gateway. Más aún, los mensajes son protegidos por la misma criptografía de clave pública de alta calidad que protege el correo electrónico encriptado normal. Ésta es la opción SecureMessenger, que se describe en la página 4.
No hay que configurar nada en los ordenadores de los usuarios. GlobalCerts también ha hecho que la SecureMail Gateway sea lo más discreta posible. Los usuarios mantienen en sus ordenadores el mismo software de correo electrónico que siempre han utilizado, sus direcciones de correo electrónico siguen siendo las mismas y continúan usando con normalidad su groupware habitual (como Novell GroupWise, Microsoft Outlook, Lotus Notes, etc.). El principal cambio que van a notar es la presencia de sumarios criptográficos al pie de los mensajes de correo electrónico, indicando si el mensaje fue o no encriptado en su tránsito. Figura 1: Perspectiva general de la arquitectura Arquitectura de seguridad del correo electrónico Una arquitectura proxy La pasarela SecureMail Gateway proporciona toda una variedad de servicios y prestaciones de seguridad para el correo electrónico. La pasarela proporciona estas prestaciones trabajando como un proxy entre servidores de correo electrónico o entre los destinatarios externos y la organización. El papel de la SecureMail Gateway como proxy nos permite el máximo de flexibilidad para adaptarnos a sus necesidades, sin perturbar el desarrollo de su empresa. Prestaciones estándares: para los usuarios de la Gateway Encriptado automático: Cuando se configura para que encripte siempre, la SecureMail Gateway, utilizando un encriptado S/MIME estándar, encripta automáticamente los mensajes para todos los destinatarios que disponen de certificados que se puedan descubrir, además de para todos los destinatarios que dispongan de una plantilla SecureMessenger. Si el sistema encuentra un destinatario que no tiene nada de esto, hace que el remitente cree una plantilla SecureMessenger para dicho destinatario. Desencriptado automático: El correo electrónico encriptado es desencriptado automáticamente cuando llega a la organización. Esta prestación permite la máxima compatibilidad con los servidores de correo electrónico y sistemas de filtrado de correo, tales como los escáneres de virus y los sistemas de política basados en palabras clave.
Funcionamiento transparente: La pasarela SecureMail Gateway crea usuarios automáticamente y sus pares de claves asociadas, cuando envían por primera vez correo electrónico a través de la pasarela. De manera alternativa, un administrador puede seleccionar los usuarios que tendrán encriptado su correo electrónico. Que nuestra instalación sea muy sencilla significa que su organización consigue un importante servicio nuevo, pero su personal informático no soporta una carga adicional Compatibilidad significa que ustedes mantienen su infraestructura actual y sólo tienen que hacer los cambios necesarios para añadir la seguridad del correo electrónico. Si ha invertido en tecnología PKI, puede seguir utilizando esta tecnología en combinación con la SecureMail Gateway. Instalación sencilla: La SecureMail Gateway es una instalación en red que se coloca en la red cerca del cortafuegos (firewall) del correo electrónico. Hay que trabajar poco para instalarlo y configurarlo. La SecureMail Gateway se puede instalar sin tener que hacer ningún cambio en el ordenador de los usuarios. No es necesario ningún software, no es necesario cambiar ningún parámetro y no cambian las direcciones de correo electrónico. Compatibilidad con servidores: La SecureMail Gateway es compatible con Microsoft Exchange, Novell GroupWise, IBM Lotus Domino y con todo el software estándar (SMTP, POP, IMAP) para correo electrónico. La pasarela Gateway interactúa con todos los componentes de la infraestructura existente, incluyendo prestaciones avanzadas como acceso web al correo electrónico, escaneado antivirus y filtrado de contenidos. Compatibilidad con estándares: Cada instalación SecureMail Gateway genera certificados digitales X.509 v.3 para sus usuarios. No obstante, los usuarios pueden reemplazar estos certificados por certificados X.509 emitidos por otras autoridades de certificación, para las operaciones de encriptado y desencriptado. Las instalaciones SecureMail Gateway detectan automáticamente y recogen los nuevos certificados para su futuro uso, cuando sean anexados a los mensajes de correo entrantes. SecureMail Gateway TM : envíos seguros a titulares de certificados Para cualquier persona es muy simple enviar un mensaje seguro a cualquier otra persona. Sólo tiene que teclear su dirección de correo electrónico de una manera algo diferente. Todas las instalaciones SecureMail Gateway publican los certificados de sus usuarios en SecureTier TM, el sistema mundial de GlobalCerts para la administración de certificados digitales. Cuando una GlobalCerts SecureMail Gateway recibe un mensaje saliente que es marcado con la opción de seguridad (secure-), busca el certificado del destinatario en SecureTier. Si lo encuentra, recupera el certificado, lo valida y seguidamente encripta el mensaje utilizando la clave pública que contiene el certificado. Si no se puede encontrar el certificado en SecureTier, la SecureMail Gateway comprueba su repositorio local de cosecha de certificados para ver si se encuentra allí dicho certificado.
Si encuentra el certificado del destinatario, la Gateway utiliza la clave pública de dicho certificado para encriptar el mensaje. Así, la Gateway puede descubrir los certificados de una de estas dos formas: Si se pueden encontrar certificados para el destinatario, no se utiliza la opción SecureMessenger. En su lugar, el destinatario obtiene el correo seguro como es habitual. 1. Si el certificado pertenece al usuario de una pasarela SecureMail Gateway, será publicado en SecureTier y cualquier otra SecureMail Gateway lo descubrirá de manera automática y transparente, extrayéndolo de SecureTier a partir de la dirección de correo electrónico del destinatario. 2. Si el certificado no pertenece a un usuario de una SecureMail Gateway (es decir, no aparece publicado en SecureTier) cualquier pasarela que lo encuentre lo colocará en su repositorio local de certificados. Así, cuando una SecureMail Gateway busca un certificado, hace primero su comprobación en SecureTier y pasa posteriormente a buscarlo en su repositorio local de certificados. SecureMessenger : envíos seguros a cualquiera SecureMessenger es una prestación integrada en la SecureMail Gateway que permite a sus usuarios enviar con facilidad y de manera automática mensajes de correo electrónico encriptado a destinatarios que no poseen un certificado o que su certificado no lo puede descubrir la SecureMail Gateway. SecureMessenger hace que sea seguro enviar información sensible por correo electrónico información financiera de clientes, registros o datos PHI (Personally-identifiable Health Information), documentos legales confidenciales, etc. Ahora la información puede ser enviada con seguridad a cualquier destinatario en el mundo, incluso si éste no cuenta con nada más sofisticado que un navegador web básico. Si la pasarela está configurada para enviar todos los mensajes de manera segura y el destinatario no dispone de un certificado que se pueda descubrir, se recurre automáticamente al SecureMessenger. La SecureMail Gateway puede ser configurada para enviar siempre estos mensajes con seguridad o para hacerlo sólo cuando el mensaje es marcado como seguro (secure-). Aquí vemos cómo funciona, paso a paso, cuando el encriptado es opcional: 1. Añada secure- delante de la dirección de correo electrónico del destinatario o ponga [secure] en el campo Asunto. Por ejemplo, si la dirección de su destinatario fuera fredsmith@ejemplo.com, tendría que teclear secure-fredsmith@ejemplo.com en el campo Para:.
2. La SecureMail Gateway almacena el mensaje que está tratando de enviar e inmediatamente le devuelve un mensaje de correo electrónico seguro con un hipervínculo URL a su propia instalación local SecureMail Gateway. Una plantilla SecureMessenger se puede volver a utilizar tantas veces como se desee. 3. Usted se conecta a su SecureMail Gateway, con una conexión web segura SSL, para introducir una pista y una frase secreta para su destinatario. Éste usará posteriormente la pista para encontrar la frase secreta, permitiéndole leer el mensaje de correo electrónico. Usted también puede pedir que se le envíe una notificación cuando se recupere el mensaje, así como establecer una duración determinada (vida) para el mensaje. Pasado el tiempo marcado, el mensaje se autodestruye. Por último, usted puede guardar estos valores en una plantilla, como valores estándares que utilizará cada vez que se comunique con este destinatario. Sólo se le pide la pista y la frase secreta, una vez por cada destinatario, cuando crea inicialmente una plantilla. Después de que usted le haya proporcionado esta información, la SecureMail Gateway crea un par de claves temporales, encripta el mensaje con la clave publica y encripta la clave privada con la frase secreta. Figura 2: SecureMessenger Usted puede comunicar con seguridad con sus destinatarios con seguridad añadiendo tan solo secure- a su dirección de correo electrónico. 4. La SecureMail Gateway notifica inmediatamente a su destinatario que tiene un mensaje seguro en espera. Recibe un mensaje simple de correo electrónico con un hipervínculo web privado a una página web segura ubicada en la pasarela SecureMail Gateway del remitente. 5. El destinatario hace clic en el hipervínculo web privado, estable ciendo una conexión web segura (utilizando SSL) a su SecureMail Gateway. Se le indica la pista y se le pide la frase secreta. 6. Cuando el destinatario teclea correctamente la frase secreta, su clave privada temporal queda desbloqueada y el mensaje es desencriptado y mostrado. El destinatario puede descargar con facilidad los anexos incluidos en el mensaje, a través de la conexión web segura que se ha iniciado.
Su destinatario utiliza una interfaz de correo web, pero usted usa siempre su software de correo electrónico como es habitual. 7. Su destinatario también puede responderle con seguridad: sólo tiene que teclear su mensaje de respuesta en la ventana de su navegador web y subir los archivos que desee enviar. Su mensaje y todos sus anexos serán encriptados y enviados al remitente del mensaje original. Hasta el vencimiento del mensaje original (momento de su autodestrucción), el destinatario puede responder tantas veces como desee. 8. Usted recibe su respuesta como un mensaje seguro de correo electrónico en su buzón, como es habitual. Todos los archivos que el destinatario original (remitente de la respuesta) haya subido aparecerán como anexos al mensaje. No tiene que hacer nada especial para recibirlos. El SecureMessenger es fácil de usar y sólo requiere una mínima formación de usuarios. Con GlobalCerts usted dedica su tiempo a su software habitual de correo electrónico. No hay que visitar un sitio web especial para iniciar o recibir estos mensajes, y las respuestas seguras llegan a su bandeja de entrada de su correo electrónico de la forma habitual. Para más seguridad, los mensajes SecureMessenger siempre son almacenados en su Gateway, no en ninguna tercera parte. Su flujo de información segura no depende de ninguna otra empresa, y las claves para desencriptar los mensajes están almacenadas únicamente en la segura Intranet de su empresa. SecureTier La tecnología DNS es rápida, jerárquica y eficiente. SecureTier resuelve con ella el problema de encontrar las claves públicas para encriptar mensajes. Encontrar certificados de clave pública con rapidez y facilidad Otra prestación estándar de todas las instalaciones SecureMail Gateway es su conexión a SecureTier, el sistema mundial de GlobalCerts para la administración de certificados digitales. Uno de los mayores obstáculos para el uso de las claves públicas para encriptar correo electrónico es descubrir los certificados de clave pública para todos los destinatarios de mensajes de correo electrónico. Éste ha sido el mayor impedimento para la adopción a gran escala de sistemas de encriptado de correo electrónico. GlobalCerts ha creado SecureTier específicamente para superar este obstáculo. Para encriptar un mensaje de correo electrónico, se debe encontrar un certificado por cada futuro destinatario. Si el destinatario no dispone de un certificado que se pueda descubrir, se debe utilizar otro mecanismo de suministro seguro (como lo es el SecureMessenger).SecureMessenger).
SecureTier se apoya en la tecnología DNS la misma tecnología de Internet que resuelve la correspondencia de los nombres de dominio con las direcciones IP para proporcionar un sistema mundial de descubrimiento y recuperación de certificados públicos. SecureTier hace posible que se encuentren los certificados de clave pública, de manera fácil y rápida, basándose en la dirección de correo electrónico en Internet del destinatario. No existe ninguna otra tecnología tan rápida, escalable y sólida. Todos los certificados de usuarios de SecureMail TM Gateway se publican en SecureTier, simplificando de manera significativa las comunicaciones seguras entre organizaciones, ya que lo único que es necesario para descubrir el certificado de cualquier usuario de SecureMail TM Gateway es su dirección de correo electrónico. Cualquier SecureMail Gateway puede encontrar el certificado de otro usuario de SecureMail Gateway a través de SecureTier y usarlo seguidamente para encriptar sus mensajes de correo electrónico. Gracias a que SecureTier es tan rápido y escalable, las instalaciones SecureMail Gateway buscan, de manera predeterminada, los certificados públicos de todos los destinatarios de todos los mensajes al mismo tiempo, para sus operaciones de encriptado. Ésta es una ventaja sin parangón que sólo puede ofrecer GlobalCerts. Ningún otro sistema de descubrimiento y distribución de claves es tan eficiente que se pueda llevar a cabo la búsqueda de la clave en cada mensaje como norma. Compatibilidad con la tecnología PKI actual Para la SecureMail Gateway, existen fundamentalmente dos maneras de utilizar los certificados emitidos por otros sistemas de correo electrónico seguro que cumplen con la norma X.509: puede encriptar los mensajes utilizando las claves públicas recogidas de los mensajes entrantes de correo electrónico que se reciben y también puede utilizar los pares de claves generados por otro software PKI conforme con X.509 para sus propios usuarios internos. Uso automático de los certificados de los destinatarios Si las personas con las que se comunica poseen certificados de otro proveedor de PKI, sólo es necesario que le remitan un mensaje firmado digitalmente con su certificado. La SecureMail Gateway recoge el certificado en cuanto es recibido. Si el certificado es validado correctamente, queda almacenado en la SecureMail Gateway. La próxima vez en que usted (o cualquier otro usuario de su SecureMail Gateway) intente enviar un mensaje a la dirección de correo de una de estas personas, la SecureMail Gateway
encontrará automáticamente su certificado y lo usará para encriptar su mensaje. Si falla la validación del certificado recogido, es puesto en cola para atención administrativa. En este caso, el administrador puede inspeccionar la cadena de validación del certificado y determinar la acción adecuada correspondiente. Uso de certificados de otra autoridad certificadora (CA) Si posee un certificado de otra autoridad certificadora (CA), como Digital SignatureTrust Company or Verisign, usted puede cargar este certificado y su correspondiente clave privada, y la SecureMail Gateway usará este par de claves automáticamente. Los mensajes de correo electrónico que envíe encriptados serán firmados con dicha clave privada, y cualquier correo entrante será encriptado utilizando la clave pública contenida en el certificado correspondiente. Los mensajes encriptados generados por la SecureMail Gateway son compatibles con los estándares S/MIME actuales. Todos los certificados X.509 emitidos por las instalaciones SecureMail Gateway son conformes con X.509 versión 3, con soporte para las extensiones generalizadas en los modernos navegadores y en el software para correo electrónico. Este tipo de compatibilidad hace que la GlobalCerts Email Security Solution sea un caso aparte. Compatibilidad con la infraestructura actual de correo electrónico GlobalCerts prueba activamente sus productos con muchas plataformas y productos de software para correo electrónico bien conocidos, para asegurar siempre soporte e interoperabilidad. GlobalCerts cumple asimismo con estándares como S/MIME, X.509 y la serie RSA Security s PKCS. Como no hay que instalar software en los ordenadores personales ni en los servidores de correo electrónico, la SecureMail Gateway es compatible con muchos productos de software para correo electrónico que cumplen los estándares, aunque no tengan una presencia significativa en el mercado. La página siguiente contiene una lista del software comercial más importante que ha sido probado formalmente con la GlobalCerts SecureMail Gateway. Software para servidores de Software para clientes de correo electrónico correo electrónico Novell GroupWise Novell GroupWise 1 Lotus Notes Lotus Notes Microsoft Exchange Netscape UNIX send mail Microsoft Outlook SMTP-based mail servers Microsoft Outlook Express UW IMAP and POP servers Eudora SecureMessenger ha sido probado con Netscape, Internet Explorer, el navegador web de AOL, el navegador web EarthLink y con algunos navegadores web que trabajan en modo sólo texto (como los utilizados por las personas con discapacidad visual).
Implementar la seguridad en el correo electrónico Ésta es la configuración básica. Existen una gran variedad de opciones disponibles para satisfacer las necesidades especiales, pero la opción básica cubre lo esencial. El correo entrante pasa en primer lugar por la SecureMail Gateway. La GlobalCerts SecureMail Gateway protege concienzudamente los mensajes de correo electrónico de su organización. Requiere tan solo, en el peor de los casos, una pequeña reconfiguración del entorno de su correo electrónico. Correo electrónico entrante La SecureMail Gateway debe convertirse en el intercambiador de correo (MX) entrante para su organización. Esto significa que cuando el correo llega desde el mundo exterior, pasa a través de la SecureMail Gateway antes de ser distribuido a otros servidores de correo electrónico. Esto permite que SecureMail Gateway proporcione un desencriptado automático y transparente del correo encriptado. Si su organización utiliza un escáner de virus u otro tipo de filtro para el correo electrónico, la SecureMail Gateway podrá enviar el correo desencriptado a dicho sistema para que lo filtre y lo escanee Figura 3: Flujo de correo entrante La SecureMail Gateway es compatible con los escáneres de virus y todos los demás tipos de software para el filtrado del correo electrónico. El correo electrónico saliente pasa a través de la SecureMail Gateway en última instancia. Si su organización utiliza cualquier tipo de filtro para el correo electrónico como, por ejemplo, un escáner antivirus o un servidor para archivo de correo, seguirá funcionando con normalidad. Los mensajes son desencriptados antes de ser escaneados. No existe otra aproximación al encriptado automático de correo electrónico que pueda adaptarse con tanta facilidad a los escáneres de virus y a los sistemas de filtrado de correo electrónico. Correo electrónico saliente La SecureMail Gateway debe ser la última parada para el correo electrónico que sale a Internet. Esto significa que si ya cuenta con un servidor de correo electrónico (como Lotus Domino o Microsoft Exchange), debe hacer que éste envíe todo el correo saliente a la Gateway para su lanzamiento final a Internet. Los mensajes, que todavía no han sido encriptados, pueden ser protegidos por comunicaciones SSL, tal como se transmiten entre su servidor de correo actual y la SecureMail Gateway. Después de que la SecureMail Gateway lleve a cabo las operaciones de encriptado, los mensajes son enviados a Internet utilizando SMTP, como es habitual.
Figura 4: Flujo de correo saliente Muchas empresas cuentan con un escáner de correo saliente que refuerza la política de la empresa, lleva a cabo el filtrado de contenidos, escanea en busca de posibles virus o incluso archiva todos los mensajes salientes. Las pasarelas SecureMail Gateway son compatibles con todos estos sistemas, ya que sólo participan en la última etapa, cuando el correo ya ha sido procesado y es aprobado para enviarlo a Internet. En la red La SecureMail Gateway requiere pocas adaptaciones a la red local. Necesita los DNS, las direcciones IP y la capacidad para aceptar determinadas conexiones a través del cortafuegos. Estos requisitos de cortafuegos son detallados en una lista de comprobación disponible en su distribuidor GlobalCerts. Administrar la pasarela SecureMail Gateway TM Las instalaciones SecureMail Gateway son administradas a través de una interfaz web segura. Utilizando un navegador web, un identificador (ID) de usuario y una frase secreta, un administrador puede gestionar todas las funciones de una SecureMail Gateway: usuarios, sus certificados y la instalación en sí misma. Las cuentas se pueden gestionar individualmente o en conjunto, y se pueden modificar y personalizar varias opciones para hacer que su SecureMail Gateway refuerce su política de correo electrónico y el estilo de presentación de su organización.
Figura 5: Administración basada en web Opciones avanzadas GlobalCerts puede proporcional pasarelas de recambio en caliente, para que el correo electrónico encriptado esté siempre disponible. Redundancia Como el correo electrónico es un servicio de comunicaciones de importancia crítica, GlobalCerts puede proveer instalaciones SecureMail Gateway redundantes para recambio en caliente. Así se asegura que el correo encriptado esté siempre disponible. Una SecureMail Gateway está activa como pasarela maestra en todo momento y es la que provee los servicios de encriptado del correo electrónico. La otra está en contacto activo con la pasarela maestra, preparada para hacer su labor en el caso de que aquélla falle Sumario Es una solución fácil, segura y que trabaja de manera transparente con los sistemas que usted ya utiliza. La GlobalCerts SecureMail Gateway protege el correo corporativo cuando es más vulnerable: fuera de la Intranet de la empresa. Esta pasarela está diseñada para minimizar los trastornos en su flujo de trabajo y en su infraestructura de correo electrónico y proteger tantos mensajes de correo electrónico como sea posible, con un fuerte encriptado, de nivel militar. Muy importante es la opción integrada SecureMessenger, que permite enviar mensajes seguros a cualquier destinatario, de cualquier parte del mundo, a través de una simple interfaz web. SecureTier proporciona una distribución escalable de los certificados y el más rápido sistema para descubrir certificados para las operaciones de encriptado. Como los riesgos son demasiado grandes para su empresa, y las comunicaciones confidenciales no pueden llevarse a cabo de manera privada usando correo electrónico sin encriptar, la GlobalCerts SecureMail Gateway ofrece una solución completa y eficiente para proteger su correo electrónico en su desplazamiento por Internet.
Características El encriptado y el desencriptado se llevan a cabo en la Gateway Ventajas Permite funciones de filtrado de contenidos y antivirus cerca del cortafuegos Soporte tanto para S/MIME como para Permite comunicar con seguridad hipervínculos de correo electrónico SSL prácticamente con cualquiera Administración de claves y funcionamiento transparentes Compatible con los clientes de correo electrónico estándares Cada usuario dispone de su propio certificado X.509 Puede ser desplegado con encriptado desencadenado por el contenido Utiliza la infraestructura de gestión de certificados SecureTier TM No se requiere ninguna acción por parte del administrador No hay que cargar ningún software en las estaciones de trabajo de los usuarios Permite firmas digitales de usuario final Mecanismo a prueba de fallos para usuarios no avanzados Posibilita la comunicación entre organizaciones www.globalcerts.net