Firma tus virus

Una empresa que conozco quiere imponer el uso de S/MIME a todos sus trabajadores, de manera que los correos electrónicos salientes estén siempre firmados digitalmente. El motivo que se menciona (entre otras razones "blandas" como la mejora de la imagen de la compañía) es "la posibilidad de identificar si virus están siendo enviados desde la red de la empresa". Se refieren al envío de virus sin premeditación, claro.

Ciertamente me llegan de vez en cuando e-mails desde presuntas direcciones de correo de esa empresa que contienen anexos ominosos con floridos nombres como "curriculumvitae.txt.vbs" o "aumentodesueldo.doc.com"*. Y digo presuntas, porque como todo el mundo sabe o debería saber, el contenido del campo "De:" o "From:" de un correo de Internet (vamos, el nombre y la dirección del remitente) puede ser falsificado por cualquier persona que sepa cómo funciona SMTP (y es algo, todo sea dicho, que el grupo de trabajo MASS en la IETF va a tratar de corregir).

Así que pongamos que alguien recibe un correo electrónico desde una dirección de esa empresa, con un virus de polizón y una bonita firma S/MIME como guinda. El receptor se queja a la compañía de origen del correo y ésta podrá comprobar que, si la firma digital puede ser verificada, efectivamente la infección proviene de dentro de su infraestructura. La administración de sistemas de la compañía pondrá ipso facto el equipo afectado en cuarentena y todos felices. ¿Pero, qué pasa si alguien recibe un presunto correo de esa empresa que contiene un virus y no está firmado? ¿Significa eso que el correo a ciencia cierta no proviene de la compañía? ¿Cómo puede la compañía de origen estar segura de que el virus/gusano/arácnido no ha desactivado, por ejemplo, el programa de generar firmas digitales antes de reproducirse y autoenviarse?

El sistema concebido ofrece la propiedad de no repudiación de e-mails firmados pero no ofrece la propiedad de repudiación de e-mails no firmados. Es decir, para estar seguros de que la compañía no está infectada, a los pobres administradores no les cabe más remedio que seguir investigando los casos en los que e-mails virales denunciados no estén firmados (que serán ciertamente la mayoría) y la ayuda que se esperaba de esta nueva tecnología (que es útil, pero si los fines son otros) se convierte en una carga adicional (por ejemplo, la creación/mantenimiento/revocación de los certificados digitales, que no es tarea nada fácil si se hace como Dios manda).

[*] Esto me recuerda a un anexo legendario que recibí, donde el fichero tenía el nombre "http://www.dirección-de-web-inofensiva.com". La imaginación no tiene límites.