Dado que esto Registrar artículo se publicó recientemente, varios activistas expresan su preocupación sobre si se puede confiar o no en ProtonMail.

El CLDC ha expresado reservas de que ProtonMail podría no ser la mejor opción para activistas. A pesar de las preocupantes noticias recientes, ProtonMail es, sin embargo, una opción razonable para el correo electrónico cifrado. Como servicio que administra tus claves de cifrado por ti, ProtonMail no puede ofrecer una seguridad tan fuertemente garantizada como el correo electrónico cifrado clásico con PGP/GPG. Pero si tu grupo no tiene el tiempo, la capacidad o la voluntad para que cada miembro pase ~90 minutos con el CLDC recibiendo capacitación sobre cifrado de correo electrónico y brindando soporte continuo, ProtonMail podría ser la mejor opción para ti. Estate atento a las actualizaciones de https://cldc.org/protonmail en las próximas semanas, donde podríamos suavizar nuestra opinión original y fría sobre ProtonMail.

Antes de analizar los informes recientes de los medios, seamos claros: el correo electrónico ya no es la mejor opción para comunicaciones seguras.

En primer lugar, a menos que *todos* los miembros de tu grupo utilicen el mismo proveedor de correo electrónico confiable, no importa cuán fuerte sea el cifrado del mensaje, tu metadatos (estadísticas detalladas sobre tus datos: a quién envías correos, exactamente cuándo y con qué frecuencia, además del asunto sin cifrar) siempre es visible para adversarios capaces en Internet. Profundizaremos en esto en un artículo futuro, pero las únicas aplicaciones de comunicación cifrada fáciles de usar que pueden proteger tus metadatos son Signal[.org] (la mejor) o (la siguiente mejor) Wire[.com] y Keybase[.io]. Si deseas alguna garantía sobre la protección de metadatos, necesitarás adentrarte en los detalles y usar aplicaciones menos amigables en combinación con Tor. Estaremos encantados de guiarte, pero esto puede ser mucho para asimilar. Si crees firmemente que proteger la identidad de las personas es importante, por favor contactar.

Entonces, ¿cuál es el alboroto actual sobre ProtonMail? *Es* malo, pero no es nada que no supiéramos ya. El artículo informa sobre sugerencias de que ProtonMail está colaborando con las autoridades para proporcionar registro de direcciones IP. Esto significa que ProtonMail parece estar trabajando con la policía suiza para recopilar y compartir metadatos de correos electrónicos. Como ya mencionamos, los metadatos son estadísticas vitales sobre tus datos: no lo que se está escribiendo, sino quién se comunica con quién, cuándo y con qué frecuencia. Una fuente rica de información, ciertamente. Pero es muy difícil proteger los metadatos de correo electrónico de un adversario capaz (principalmente gobiernos con capacidades de vigilancia global y poder de citación, o corporaciones bien conectadas).

Tu mejor opción para el correo electrónico es un proveedor de correo electrónico amigable con los movimientos, comprometido a no divulgar ninguna información del usuario, como riseup.net o mayfirst.org. Usar PGP/GPG en combinación con un proveedor de correo electrónico confiable es una cultura de seguridad ideal. Tu grupo o campaña tiene la máxima protección (datos y metadatos). Tu proveedor de correo electrónico amigable con los movimientos también está protegido, ya que solo podría compartir información ininteligible. Significa que no tienen que cerrar o ir a prisión para proteger tus comunicaciones.

Por supuesto, ProtonMail no es una organización activista, y es cierto que por defecto no tienen acceso al contenido de tus correos electrónicos ni archivos adjuntos. Pero esto solo es cierto si no te atacan activamente. Dado que ProtonMail parece estar cooperando posiblemente con la policía suiza para compartir metadatos en ciertos casos, es importante saber que ProtonMail también podría hacer algo mucho peor, si se viera obligado. Por supuesto, esto es mucho más invasivo y mucho menos probable, pero es técnicamente posible.

El marketing de ProtonMail es muy engañoso. Dicen cosas como:

“no tenemos la capacidad técnica para descifrar tus mensajes y, como resultado, no podemos entregar sus datos a terceros. Con ProtonMail, la privacidad no es solo una promesa, está garantizada matemáticamente.”

No es cierto. El esquema de encriptación de ProtonMail, si bien es muchísimo mejor que el de Gmail y otros que pueden simplemente entregar todos los datos de tu organización cuando se les solicita, todavía requiere que confíes en ellos para que hagan lo correcto. Específicamente, si tuvieran la motivación, ProtonMail podría:

• Entregue su clave privada (la cual posee, protegida únicamente por la fuerza de su contraseña) a las autoridades, quienes podrán entonces usar recursos formidables para intentar descifrar su contraseña mediante métodos de fuerza bruta (es decir: probar todas las contraseñas hasta tener suerte);
• Servir una versión maliciosa del cliente de correo web ProtonMail (JavaScript) para capturar la frase de contraseña de la clave privada; o
• Cifra tus mensajes de correo electrónico de manera que también puedan ser leídos por un tercero (técnicamente: cifra tu correo electrónico a una clave pública controlada por un agente del Estado) – esto probablemente requeriría también un cliente de webmail malicioso.

Si usas ProtonMail, aquí tienes tres pasos para defenderte sólidamente:

• Usa una contraseña segura para proteger tu clave privada.
• Utiliza el cliente de ProtonMail (aplicación móvil o ProtonMail Bridge para escritorio) y nunca inicies sesión para leer/enviar correos electrónicos usando el sitio web de ProtonMail.
• Para proteger los metadatos, usa Tor Browser o una VPN confiable (Tor es mejor, ya que no requiere confianza explícita) para crear y acceder siempre a tu cuenta de ProtonMail.

Si sigues los tres pasos, realmente podrás lograr una seguridad de correo electrónico razonable.

Entonces, al final, el Registrarse el artículo no dice nada técnico que no supiéramos ya: ProtonMail es muy conveniente y ofrece una situación de seguridad mucho mejor que Gmail, etc. Sin embargo, los movimientos de izquierda y liberadores deben ser conscientes de que existen opciones que ofrecen garantías de seguridad mucho mejores.

En este momento amamos Keybase.io (pero tienes que confiarles tus metadatos). Signal.org ofrece la mejor protección de metadatos posible (con una interfaz muy fácil de usar), pero aún así tienes que confiar en que no registrarán y entregarán tus metadatos, si se les obliga. Wire.com te protege de fascistas o acosadores poco sofisticados (no tienes que dar tu número de celular en reuniones públicas) y ofrece de forma única llamadas de conferencia cifradas para grupos pequeños.

Escríbenos tus preguntas y peticiones de entrenamiento a https://cldc.org/contact. Podemos ayudarte a mantenerte seguro, ¡así que contáctanos antes de hacer pública tu próxima campaña!