WhatsApp, la seguridad y el miedo ignorante



¿Tiene backdoor? ¿tiene bugs? ¿fallas de diseño? ¿Es que acaso podemos ver su código fuente?

The Guardian armó ruido con un artículo explicando una falla en Whatsapp, pero no se quedó con la falla, directamente acusó de tener un backdoor (puerta trasera), una puerta para que gobiernos espíen a los usuarios creado directamente por Facebook.

La situación supuestamente se da cuando uno, por ejemplo, cambia de teléfono y las keys (las llaves de encripción) deben ser regeneradas, enviadas a la otra parte y así retomar la conversación. Según The Guardian esto podría ser usado como backdoor pero ¿Es realmente así?

Toda conversación con claves privadas termina cuando una de las partes pierde su clave, el par privado-público de claves hay que tenerlo almacenado en algún lado, una conversación de Whatsapp desde otro teléfono es una nueva conversación. A diferencia de Signal, que te avisa que las claves fueron regeneradas, Whatsapp avisa pero no bloquea la comunicación, es tan sólo un alerta. Sencillamente la gente le daría OK, pero he aquí que hasta Signal o Telegram se comportan igual.

¿Está desinformando The Guardian?



Cómo es que podría ser un backdoor regenerar las keys cuando las keys iniciales ya fueron generadas por la misma empresa y no tenés forma de saber si no las envió a los servidores de Facebook y las almacenó allí? Es ridículo el planteo desde el vamos, el backdoor no está en la aplicación en sí sino en el usuario aceptando los términos y condiciones de una aplicación de código cerrado. Algo casi imposible de evitar hoy en día, es confianza pura en el proveedor o nada.

¿O acaso hubo escándalo cuando Facebook anunció que compartiría toda la data que recolectaba de Whatsapp con anunciantes?

Para Facebook no hace falta incorporar un bug ahora para tener un backdoor, ya podría haberlo tenido desde siempre, Google podría haber incluido uno en Android para sencillamente hacer keylogging de todo lo que tipeas, ¿tenés acaso forma de saberlo? Aun con el código fuente de Android publicado uno no tiene forma de saber si ese Android en tu teléfono coincide con el código fuente publicado.

El único teléfono completamente seguro debería venir vacío, con el código fuente por separado, uno debería revisarlo, compilarlo e instalarlo a mano. La telecomunicación completamente segura no es para los usuarios "comunes", no importa lo que patalees, nunca.

Entonces, ¿es Whatsapp inseguro? No como dijo The Guardian.



La nota de The Guardian ignora plenamente cómo es el protocolo punto a punto encriptado, cómo se negocian las claves, cómo se renegocian cuando uno cambia de teléfono. A tal punto ignora los hechos que decenas de los más expertos criptógrafos firmaron una carta abierta en la que le reclaman a The Guardian que se rectifique.

Y hacen un recuento de cómo debería haber sido tratado el caso:

1. El comportamiento de WhatsApp descripto no es un backdoor, es, en cambio, una concesión para permitir que los usuarios tengan algo más fácil y por ende baja un poco su seguridad, pero no es ni un loophole ni un backdoor.

2. El riesgo es remoto y con un alcance muy limitado, la aplicabilidad, para lo que hace falta un servidor y una línea telefónica clonada, lo poco oculto que es (los usuarios reciben un warning), limitan mucho el método teórico de ataque.

3. Decirle a la gente que cambie de aplicación no ayuda, Singal no es para cualquiera.

4. Nunca deberías hacer una nota semejante sin entrevistar a expertos en la materia, es como publicar una noticia que diga que las vacunas pueden matarte sin entrevistar a un especialista o un doctor y sólo entrevistes a un conspiranoico.



Estos puntos son claros en algo, generar pánico sobre una aplicación utilizada por más de mil millones de personas ES un problema y, por suerte en este caso, no creció más allá, no se hizo una bola de nieve (extraño pero a veces se contiene) como sucedería si realmente fuese una vulnerabilidad intencional grave.

Tengan en cuenta lo mismo que dije antes, al fin y al cabo uno brinda toda la información a Facebook y nada impide que éstos compartan los datos con la NSA y la CIA así como nada impide que Telegram comparta todo con la FSB y así, cuanto más privado el sistema de comunicación mejor pero no es "para todo el mundo".

Cuando hablamos de algo usable por las masas casi todos los sistemas que tengan encripción de punto a punto son más que suficientes aunque siempre con la misma precaución: yo no confío en nada que tenga su código cerrado, eso incluye a todos los sistemas más famosos de intercambio de mensajes.

Ahora bien, hacer una nota amarillista como la de The Guardian es totalmente antiperiodístico y poco serio que pone en riesgo mucho más de lo que aporta.

¿Qué provocó? La misma Zeynep Tufekci, especialista en criptografía, comentaba que desde la nota de The Guardian muchos de sus seguidores le preguntaban qué hacer mientras se pasaban a sistemas de comunicación mucho más inseguros, la semilla del mal estaba sembrada, difícilmente esa gente, usuarios inexpertos, vuelvan a confiar en una app que no se demostró que tuviese ningún backdoor.

Y esto me lleva a otra cosa, cada noticia que se tira hoy en día en la red, con tal de conseguir un poco más de tráfico clickbait, puede tener consecuencias globales increíbles e imposibles de medir. Esto da para muchos otros posts, claro.

Otros posts que podrían llegar a gustarte...

Comentarios

  • Mariano    

    Recuerdo que durante varios años Obama puteaba porque el servicio secreto no le dejaba usar un teléfono normal. Mientras acá pleno 2016 la ministra de seguridad le recomendaba al presidente y allegados que usen Whastsapp porque era seguro.
    Si vamos a ser paranoicos, whastapp no tiene la culpa, tenes que irte a vivir a una choza envuelta en papel aluminio y plomo. Ni Stallman aprendió que por mas de que vos no uses smartphones, los de alrededor si y si sos medio famoso te sacan fotos rastreables sin que te des cuenta.

    • Responder
    • Citar
    • Comentado:
  • Daniel    

    Fabio, relacionado con el tema encriptación te hago una consulta. Puede ser que alguna vez hayas escrito sobre la generación de números aleatorios (o pseudo aleatorios) y su importancia para la encriptación? Estaba seguro de haber leído algo así acá pero hice una búsqueda y no encontré nada.
    Gracias!

    • Responder
    • Citar
    • Comentado:
  • Daniel    

    Perdón! Encripción!

    • Responder
    • Citar
    • Comentado:
  • Daniel dijo:

    Fabio, relacionado con el tema encriptación te hago una consulta. Puede ser que alguna vez hayas escrito sobre la generación de números aleatorios (o pseudo aleatorios) y su importancia para la encriptación? Estaba seguro de haber leído algo así acá pero hice una búsqueda y no encontré nada.
    Gracias!


    por ahí puse un link en los ldv, ni idea, pero he leído varios sites al respecto y sí, el generador aleatorio es todo un tema

    • Responder
    • Citar
    • Comentado:
  • Gustavo V    

    por algo el Bin Laden usaba correos en persona, nada virtual... y aun asi lo cazaron

    • Responder
    • Citar
    • Comentado:
  • Lelale    

    Gustavo V dijo:

    por algo el Bin Laden usaba correos en persona, nada virtual... y aun asi lo cazaron

    Dicen qué...

    Respecto de código cerrado, no confío en ningún sistema así para uso frecuente.

    • Responder
    • Citar
    • Comentado:
  • melina    

    Solo vengo a decir que me re parece adrede lo que hizo, por lo que se gano que le diga"señor Guardian, es usted diabolico.."

    • Responder
    • Citar
    • Comentado:
  • Daniel    

    Fabio Baccaglioni dijo:

    Daniel dijo:
    Fabio, relacionado con el tema encriptación te hago una consulta. Puede ser que alguna vez hayas escrito sobre la generación de números aleatorios (o pseudo aleatorios) y su importancia para la encriptación? Estaba seguro de haber leído algo así acá pero hice una búsqueda y no encontré nada.
    Gracias!


    por ahí puse un link en los ldv, ni idea, pero he leído varios sites al respecto y sí, el generador aleatorio es todo un tema

    Gracias Fabio!

    • Responder
    • Citar
    • Comentado:
  • Fernando    

    Muy buen artículo. Estoy usando Wire, parece combinar vais aspectos técnicos y opciones de uso interesantes... El problema? Lo tengo sólo yo y mi novia :-)

    Wire, la aplicación de mensajería más segura - El Androide Libre

    https://www.elandroidelibre.com/2016/03/wire-aplicacion-de-mensajeria-mas-segura.html

    • Responder
    • Citar
    • Comentado:
  • GAK    

    Desde el momento en que se tiene un DNI ya no se es "invisible". Menos si se tiene una cuenta en un banco o una tarjeta de crédito. A los que espían no les importa las fotos que te saques frente al espejo ni los relatos de las vergonzosas perversiones secretas. Solo lo que atenta contra el dinero y el poder es lo que importa.
    Lo "otro" es solo comercio dirigido a las personas que se dedican a saber mas de las vidas de otros que de las propias.

    • Responder
    • Citar
    • Comentado:
  • YAKO    

    Fernando dijo:

    Muy buen artículo. Estoy usando Wire, parece combinar vais aspectos técnicos y opciones de uso interesantes... El problema? Lo tengo sólo yo y mi novia :-)


    Creo que sería mas útil ai lo usan vos y una amante... Guiño

    • Responder
    • Citar
    • Comentado:
  • Trumpeta    

    Daniel dijo:

    Fabio Baccaglioni dijo:
    Daniel dijo:
    Fabio, relacionado con el tema encriptación te hago una consulta. Puede ser que alguna vez hayas escrito sobre la generación de números aleatorios (o pseudo aleatorios) y su importancia para la encriptación? Estaba seguro de haber leído algo así acá pero hice una búsqueda y no encontré nada.
    Gracias!


    por ahí puse un link en los ldv, ni idea, pero he leído varios sites al respecto y sí, el generador aleatorio es todo un tema

    Gracias Fabio!


    Respecto del tema, del que apenas he leído, me crucé con esta historia muy interesante hace un par de días:
    PRNGs take an initial number, known as a seed, and then mash it together with various hidden and shifting inputs—the time from a machine’s internal clock, for example—in order to produce a result that appears impossible to forecast. But if hackers can identify the various ingredients in that mathematical stew, they can potentially predict a PRNG’s output
    Russians Engineer a Brilliant Slot Machine Cheat And Casinos Have No Fix https://www.wired.com/2017/02/russians-engineer-brilliant-slot-machine-cheat-casinos-no-fix/

    • Responder
    • Citar
    • Comentado:
  • Gregorio    

    Fabio Baccaglioni dijo:

    Google podría haber incluido uno en Android para sencillamente hacer keylogging de todo lo que tipeas


    Salvo por las contraseñas y campos donde se ingresan pagos, no hace exactamente eso? (creo que hasta lo advierte, para "mejorar el producto", etc) No es parte del tracking necesario para monetizar los datos? (ahora con la identidad ya no borrada y cruzada con doubleclick, sumando metadatos)

    Además de porque poca gente lo usa (al igual que el resto de aplicaciones de mensajes que no sean de FB o G) ¿por qué no es para cualquiera Signal? (pregunto porque nunca la use)

    • Responder
    • Citar
    • Comentado:

Deje su comentario:

Tranquilo, su email nunca será revelado.
La gente de bien tiene URL, no se olvide del http/https
Para evitar bots, si se tardó mucho en leer la nota seguramente no sirva y tenga que intentar dos veces

Negrita Cursiva Imagen Enlace


comentarios ofensivos o que no hagan al enriquecimiento del post serán borrados/editados por el administrador