The Guardian denuncia que WhatsApp tiene una “puerta trasera” que podría usarse para espiar a los usuarios [Actualización]

Estoy seguro de que, debido a que es viernes 13, una especie de pánico por la privacidad ha golpeado al mundo debido al artículo de The Guardian de esta mañana sobre una puerta trasera crítica en WhatsApp. Postula que, debido a cómo se manejan las claves de cifrado cuando un dispositivo se desconecta y no se envían mensajes (por cualquier razón), WhatsApp o su empresa matriz, Facebook, pueden interceptar las comunicaciones de los usuarios. Mientras tanto, Gizmodo ha informado de que este no es el caso: la forma en que WhatsApp maneja el cifrado es una característica y funciona como está previsto.

o

Gizmodo afirma que esta “vulnerabilidad” es una forma muy conocida de burlar y eludir los sistemas de cifrado y mensajería que dependen de ella. Cabe señalar que esto es extremadamente difícil de lograr. Alec Muffet, un ex ingeniero de seguridad de Facebook, le dijo a Gizmodo:

“Hay una función en WhatsApp que, cuando cambias de teléfono, adquieres un teléfono nuevo, restableces la configuración de fábrica, lo que sea, cuando instalas WhatsApp en el nuevo teléfono y continúas una conversación, las claves de cifrado se renegocian para adaptarse al nuevo teléfono. Digamos que te estoy enviando un mensaje y tu teléfono está desconectado porque tu [batería] está agotada, o no tienes cobertura, o algo así. Algunos mensajes se “copian de seguridad” en mi teléfono, esperando hablar con el tuyo. La propuesta es que esta condición: mensajes respaldados, combinados con alguien que conspira con Facebook, WhatsApp para “falsificar” la condición de “la persona tiene un teléfono nuevo”, puede llevar a que los mensajes respaldados se vuelvan a cifrar y se envíen al nuevo teléfono falso o conspirado”.

Todo empezó cuando un investigador de criptografía y seguridad de la Universidad de California en Berkeley llamado Tobias Boelter mencionó este problema en su blog el pasado mes de abril. También envió un informe a Facebook, que respondió diciendo que esto era conocido y que la empresa podría considerar cambiarlo en el futuro, pero que no era una prioridad. Luego llevó sus hallazgos a The Guardian cuando el problema no se había resuelto casi un año después, que es como obtuvimos ese artículo esta mañana.

Sinceramente, esto parece depender de lo paranoico que seas. Independientemente de lo insidioso o no que sea esto, creo que el argumento general que se puede plantear es que WhatsApp debería actuar más como Signal. En la situación descrita anteriormente, WhatsApp volverá a cifrar los mensajes no enviados con las nuevas claves y enviará el mensaje sin ninguna autorización del usuario. Después, aparecerá una notificación en línea para el remitente solo si ha optado por ello (porque está deshabilitado de forma predeterminada). Signal, por otro lado, evita que se envíe el mensaje y alerta al remitente sobre las nuevas claves del destinatario. Luego, este puede optar por verificar el contacto antes de volver a enviar el mensaje.

Izquierda: cómo WhatsApp muestra un cambio en las claves; derecha dos: cómo lo maneja Signal

La pregunta entonces es: ¿por qué WhatsApp no ​​gestiona esto como Signal? Le convendría a la empresa hacerlo después del malestar que generó ese cambio de política de privacidad en agosto del año pasado.

Por cierto, Hacker News se está divirtiendo mucho con esto.

ACTUALIZACIÓN: 13/01/2017 10:37 am PST POR

WhatsApp ha emitido un comunicado sobre la historia: lo hemos pegado a continuación.

The Guardian publicó esta mañana un artículo que afirma que una decisión de diseño intencional en WhatsApp que evita que las personas pierdan millones de mensajes es una “puerta trasera” que permite a los gobiernos obligar a WhatsApp a descifrar los flujos de mensajes.** Esta afirmación es falsa.**

WhatsApp no ​​ofrece a los gobiernos una “puerta trasera” para acceder a sus sistemas y lucharía contra cualquier solicitud gubernamental de crear una puerta trasera. La decisión de diseño a la que se hace referencia en el artículo de The Guardian evita que se pierdan millones de mensajes, y WhatsApp ofrece a las personas notificaciones de seguridad para alertarlas sobre posibles riesgos de seguridad. WhatsApp publicó un informe técnico sobre su diseño de cifrado y ha sido transparente sobre las solicitudes gubernamentales que recibe, publicando datos sobre esas solicitudes en el Informe de solicitudes gubernamentales de Facebook ( https://govtrequests.facebook.com/ ) .

Fuente: The Guardian , Gizmodo